CVE-2022-3602
4-байтовое переполнение буфера в Email-адресе X.509
- Опубликовано
- 1 нояб. 2022 г.
- Обновлено
- 14 апр. 2026 г.
- Назначение CNA
- openssl
- Наблюдены доказательства
- 8 авг. 2026 г.
Первичный CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:HВысокий · следующие 30 дней
- Процентиль
- 99,8 %
- Дата модели
- 13 окт. 2026 г.
EPSS – это статистическая оценка, а не достоверность или мера воздействия. Объедините это с CVSS, статусом KEV, воздействием и вашей средой.
Резюме
Переполнение буфера может быть вызвано при проверке сертификатов X.509, а именно при проверке ограничений на имена (name constraint checking). Обратите внимание, что это происходит после проверки подписи цепочки сертификатов и требует, чтобы либо CA подписал вредоносный сертификат, либо приложение продолжило проверку сертификата, несмотря на невозможность построения пути к доверенному издателю. Злоумышленник может сформировать вредоносный адрес электронной почты, чтобы переполнить стек четырьмя контролируемыми злоумышленником байтами. Это переполнение буфера может привести к сбою (вызывая отказ в обслуживании) или потенциально к удалённому выполнению кода. На многих платформах реализованы защиты от переполнения стека, которые снижают риск удалённого выполнения кода. Риск может быть дополнительно снижен в зависимости от расположения стека для конкретной платформы/компилятора. В предварительных анонсах CVE-2022-3602 эта проблема описывалась как КРИТИЧЕСКАЯ. Дальнейший анализ с учётом некоторых из описанных выше смягчающих факторов привёл к понижению уровня до ВЫСОКОГО. Пользователям по-прежнему рекомендуется как можно скорее обновиться до новой версии. В TLS-клиенте это может быть вызвано подключением к вредоносному серверу. В TLS-сервере это может быть вызвано, если сервер запрашивает аутентификацию клиента и подключается вредоносный клиент. Исправлено в OpenSSL 3.0.7 (затронуты версии 3.0.0,3.0.1,3.0.2,3.0.3,3.0.4,3.0.5,3.0.6).
Источники
- CVE-2022-3602Исследования
Технический разбор и анти-POC для CVE-2022-3602, переполнения буфера в punycode в OpenSSL 3.0.x, со скриптами воспроизведения, анализом стека и оценкой мер компилятора.
- CVE-2022-3602Обнаружение
Пакет Zeek, обнаруживающий попытки эксплуатации CVE-2022-3602 и уязвимые серверы OpenSSL по HTTP-заголовку Server и аномалиям punycode в TLS, генерирующий практические уведомления для реагирования на инциденты.
Сканер на Python, который обнаруживает серверы OpenSSL 3.0.0-3.0.6, уязвимые для CVE-2022-3602 и CVE-2022-3786, путем проверки требований аутентификации клиента на одной или нескольких целях.
Эксплойт доказательства концепции для CVE-2022-3602, уязвимости переполнения буфера типа «отказ в обслуживании» в OpenSSL 3.0 до версии 3.0.7. Включает исходный код на C и инструкции по компиляции.
- spookyssl-pcapsОбнаружение
PCAP-файлы и сигнатуры Suricata для обнаружения попыток эксплуатации OpenSSL CVE-2022-3602, включая вредоносный клиентский/серверный трафик и примеры легитимных punycode-сертификатов.
- OpenSSL-2022Информационный
Оперативная информация об уязвимостях CVE-2022-3602 и CVE-2022-3786 в OpenSSL 3
Эксплойт proof-of-concept для уязвимостей переполнения буфера в OpenSSL CVE-2022-3602 и CVE-2022-3786, демонстрирующий удаленное выполнение кода через специально созданные сертификаты X.509.
cve-2022-3602 poc
PoC-код для эксплойтов, упомянутых в Datadog Security Labs.
Ответственное использование
Используйте информацию об уязвимостях только в тех системах, которыми вы владеете или имеете право тестировать. Kitploit ссылается на метаданные общедоступных исследований и не хранит код эксплойта или вредоносные полезные данные.