1. 通告信息

近日，防御吧A-Team团队监测到一则 OpenSSL 组件存在拒绝服务漏洞的信息，漏洞编号：CVE-2022-0778，漏洞威胁等级：高危。该漏洞是由于证书解析时使用的 BN_mod_sqrt() 函数存在一个错误，它会导致在非质数的情况下永远循环。可通过生成包含无效的显式曲线参数的证书来触发无限循环。由于证书解析是在验证证书签名之前进行的，因此任何解析外部提供的证书的程序都可能受到拒绝服务攻击。此外，当解析特制的私钥时(包含显式椭圆曲线参数)，也可以触发无限循环。攻击者可利用该漏洞对使用服务器证书的 TLS 客户端、使用客户端证书的 TLS 服务端、托管服务提供商从客户那里获得证书或私钥、证书颁发机构解析来自订阅者的认证请求、解析 ASN.1 椭圆曲线参数的任何其他内容、引起拒绝服务 (DoS) 攻击。

对此，防御吧建议广大用户及时升级到安全版本，并做好资产自查以及预防工作，以免遭受黑客攻击。

2. 漏洞概述

CVE：CVE-2022-0778

简述：OpenSSL是一个开放源代码的软件库包，应用程序可以使用这个包来进行安全通信，避免窃听，同时确认另一端连接者的身份。该漏洞是由于证书解析时使用的 BN_mod_sqrt() 函数存在一个错误，攻击者可利用该漏洞引起拒绝服务 (DoS) 攻击。

3. 漏洞危害

攻击者可利用该漏洞引起拒绝服务 (DoS) 攻击。

4. 影响版本

目前受影响的 OpenSSL 版本：

OpenSSL版本1.0.2：1.0.2-1.0.2zc

OpenSSL版本1.1.1：1.1.1-1.1.1m

OpenSSL版本 3.0：3.0.0、3.0.1

5. 解决方案

当前官方已发布最新版本，建议受影响的用户及时更新升级到对应版本。

OpenSSL 1.0.2 用户应升级至 1.0.2zd（仅限高级支持客户）

OpenSSL 1.1.1 用户应升级至 1.1.1n

OpenSSL 3.0 用户应升级至 3.0.2