CVE-2023-0286
CVE-2023-0286: ошибка обработки X.400 адреса в OpenSSL
Проверьте приложения на OpenSSL, которые включают проверку CRL и обрабатывают недоверенные цепочки сертификатов. Ошибка типа X.400 address может привести к чтению памяти или отказу в обслуживании; обновление доступно для поддерживаемых веток.
Кому нужно проверить
Разработчикам и администраторам приложений на OpenSSL, использующих CRL checking, собственную проверку сертификатных цепочек или сетевую загрузку CRL. Важна не только марка продукта, но и конкретная версия, способ установки, операционная система и конфигурация.
В чём риск
Ошибка обработки X.400 address может позволить передать указатели в memcmp, что способно привести к чтению содержимого памяти или отказу в обслуживании. Уязвимость не означает, что любой TLS endpoint автоматически эксплуатируем.
Затронутые версии
OpenSSL 3.0, 1.1.1 и 1.0.2. Для воздействия необходимо включённое CRL checking (X509_V_FLAG_CRL_CHECK); в типичном сценарии атакующий предоставляет и цепочку сертификатов, и CRL. Если контролируется только один вход, второй должен содержать X.400 address в CRL distribution point — редкая конфигурация. Особенно проверьте приложения с собственной загрузкой CRL из сети.
Исправленные версии
Исправлено в OpenSSL 3.0.8, 1.1.1t и 1.0.2zg (последний — только premium support). У системных сборок применяйте исправленный пакет поставщика; Canonical указывает отдельные версии backport для Ubuntu 24.04/22.04/20.04 и ESM выпусков.
Что сделать
- 1Составьте перечень приложений и фактически используемых OpenSSL библиотек; проверьте, включён ли X509_V_FLAG_CRL_CHECK и кто управляет сертификатной цепочкой и CRL.
- 2Обновите OpenSSL до исправленного релиза или пакета поставщика ОС. Проверьте пакетный advisory для backport; не заменяйте системную библиотеку вручную файлами с сайта upstream.
- 3Если приложение не требует проверки CRL, не включайте её без архитектурной необходимости; при обязательном CRL процессе ограничьте источники и проверяйте цепочку обновлений. Это не заменяет обновление библиотеки.
- 4Перезапустите сервисы, чтобы они загрузили исправленную библиотеку, затем проверьте штатную проверку цепочек, CRL и журналы ошибок.
Как не подпустить ботов к сайту
BotProtection принимает запросы перед вашим сайтом и фильтрует автоматизированные обращения. Поэтому ботам сложнее добраться до уязвимого компонента и начать его проверять или атаковать, а вероятность успешной автоматизированной атаки становится значительно ниже. Это дополнительный слой защиты: обновление уязвимых компонентов, проверка журналов и реагирование на инциденты остаются обязательными.
Первоисточники
Снизьте шанс атаки до того, как бот дойдёт до сайта
Подключите BotProtection как фильтр перед сайтом: подозрительные автоматизированные запросы отсекаются до обращения к вашему серверу. Это значительно снижает вероятность автоматизированной атаки, но не исправляет саму уязвимость, поэтому обновление и настройка компонентов остаются обязательными.