Фахівцям з інформаційної безпеки та розробникам, що використовують криптографічні бібліотеки, слід звернути увагу на оновлення OpenSSL від 9 червня 2026 року. Недостатня валідація в CMS може призвести до компрометації цілісності повідомлень, що критично для систем, які покладаються на захищений обмін даними.
Згідно з бюлетенем CVE-2026-34182, у процесі обробки Cryptographic Message Services (CMS) виявлено недоліки валідації полів шифру та довжини тегів у контейнерах AuthEnvelopedData. Ці вразливості дозволяють зловмисникам обійти перевірку цілісності повідомлень або отримати функціональність, еквівалентну ключу для конкретного одержувача CMS, через маніпуляцію вхідними даними.
Рекомендації:
- Оновіть бібліотеку OpenSSL до версії, що містить виправлення CVE-2026-34182.
- Проведіть аудит систем, що використовують CMS для шифрування та підпису повідомлень.
- Перевірте вхідні дані, що передаються до функцій обробки CMS, на відповідність очікуваним форматам та довжинам полів.
Використані джерела
- openssl-library.org (openssl-library.org)