CVE-2023-0464
CVE-2023-0464: отказ в обслуживании при проверке X.509 в OpenSSL
Уязвимость может исчерпывать ресурсы при проверке специально сформированной цепочки сертификатов с policy constraints, если приложение явно включает обработку политик X.509. Проверьте и обновите OpenSSL даже если стандартный TLS-сервер не использует эту опцию.
Кому нужно проверить
Администраторам Linux-серверов, разработчикам приложений на OpenSSL и специалистам, которые используют собственную проверку цепочек сертификатов или CRL/PKI политики. Важна не только марка продукта, но и конкретная версия, способ установки, операционная система и конфигурация.
В чём риск
При активной обработке policy constraints атакующий может передать цепочку сертификатов, вызывающую экспоненциальное потребление вычислительных ресурсов и отказ в обслуживании. Стандартная конфигурация OpenSSL не включает обработку политик автоматически.
Затронутые версии
OpenSSL 3.1, 3.0, 1.1.1 и 1.0.2 по advisory проекта. Условие: обработка X.509 certificate policies включена; по умолчанию она отключена. Её можно включить аргументом -policy в утилитах или вызовом X509_VERIFY_PARAM_set1_policies() в приложении. Поставщики могли выпускать backport для своих пакетов.
Исправленные версии
Upstream исправления: OpenSSL 3.1.1, 3.0.9, 1.1.1u; OpenSSL 1.0.2zh доступен только клиентам premium support. Для системных библиотек сверяйте пакетный advisory: Canonical сообщает backport для Ubuntu, включая 1.1.1f-1ubuntu2.18 в Ubuntu 20.04 и версии 3.0.x для более новых выпусков.
Что сделать
- 1Найдите приложения и команды, которые включают проверку сертификатных политик через -policy или X509_VERIFY_PARAM_set1_policies(); оцените, обрабатывают ли они недоверенные цепочки.
- 2Обновите OpenSSL или пакет поставщика ОС до версии с исправлением. Не ориентируйтесь только на upstream номер: используйте security status дистрибутива, учитывающий backport.
- 3Если обработка политик не нужна, не включайте её без требования PKI-процесса; это уменьшает область применимости, но не заменяет установку обновления безопасности.
- 4После обновления проверьте фактически загружаемую библиотеку приложением, перезапустите долгоживущие процессы и проверьте обычную проверку сертификатов и журналы ошибок.
Как не подпустить ботов к сайту
BotProtection принимает запросы перед вашим сайтом и фильтрует автоматизированные обращения. Поэтому ботам сложнее добраться до уязвимого компонента и начать его проверять или атаковать, а вероятность успешной автоматизированной атаки становится значительно ниже. Это дополнительный слой защиты: обновление уязвимых компонентов, проверка журналов и реагирование на инциденты остаются обязательными.
Первоисточники
Снизьте шанс атаки до того, как бот дойдёт до сайта
Подключите BotProtection как фильтр перед сайтом: подозрительные автоматизированные запросы отсекаются до обращения к вашему серверу. Это значительно снижает вероятность автоматизированной атаки, но не исправляет саму уязвимость, поэтому обновление и настройка компонентов остаются обязательными.