CVE-2022-3602/3786：OpenSSL缓冲区溢出漏洞通告

2022-11-02 15:26

报告编号：B6-2022-110201

报告来源：360CERT

报告作者：360CERT

更新日期：2022-11-02

0x01 漏洞简述

2022年11月02日，360CERT监测发现OpenSSL官方发布了OpenSSL 3.0的风险通告，漏洞编号为CVE-2022-3602,CVE-2022-3786，漏洞等级：严重，漏洞评分：9.0。OpenSSL 3.0.0 - 3.0.6版本受到影响，openssl 官方建议使用3.0以上版本的用户尽快升级到OpenSSL 3.0.7以免遭受攻击。

OpenSSL是一个开放源代码的软件库包，应用程序可以使用这个包来进行安全通信，避免窃听，同时确认另一端连接者的身份。这个包广泛被应用在互联网的网页服务器上。

对此，360CERT建议广大用户及时将OpenSSL升级到最新版本。与此同时，请做好资产自查以及预防工作，以免遭受黑客攻击。

0x02 风险等级

360CERT对该漏洞的评定结果如下

评定方式	等级
威胁等级	严重
影响面	广泛
攻击者价值	高
利用难度	低
360CERT评分	9.0

0x03 漏洞详情

CVE-2022-3602: OpenSSL缓冲区溢出漏洞

CVE: CVE-2022-3602

组件: OpenSSL

漏洞类型: 缓冲区溢出

影响: 代码执行/拒绝服务

简述: 该漏洞存在于OpenSSL 中 X.509 证书验证的名称约束检查功能中，攻击者可通过制作恶意电子邮件地址导致任意 4 字节堆栈缓冲区溢出，最终导致远程代码执行或拒绝服务。

CVE-2022-3786: OpenSSL缓冲区溢出漏洞

CVE: CVE-2022-3786

组件: OpenSSL

漏洞类型: 缓冲区溢出

影响: 拒绝服务

简述: 该漏洞存在于OpenSSL 中 X.509 证书验证的名称约束检查功能中，攻击者可通过制作恶意电子邮件地址导致包含 “.” 字符（十进制46）的任意字节数堆栈缓冲区溢出，最终导致拒绝服务。

0x04 影响版本

组件	影响版本	安全版本
OpenSS	3.0.0 - 3.0.6	3.0.7

openssl 受影响发行版

注意 nodejs 软件在 18 以上的版本会主动依赖 openssl 3.0 同样受到漏洞影响。

发行版名称	发行版版本	相关组件包
alpine	3.17	openssl
alpine	3.16	openssl3
alpine	3.15	openssl3
debain	12	nodejs
debain	12	openssl
ubuntu	22.10	openssl
redhat es	9	openssl
fedora	36	openssl
kali	2022.3	openssl
linux mint	21	openssl
centos	9	openssl