Розробникам, які використовують низькорівневі криптографічні бібліотеки, слід звернути увагу на це оновлення OpenSSL. Хоча стандартні сертифікати X.509 залишаються безпечними, використання специфічних конфігурацій може призвести до помилок пам'яті, що створює ризики для стабільності та безпеки застосунків.
16 жовтня 2024 року OpenSSL опублікував бюлетень щодо вразливості CVE-2024-9143. Проблема стосується низькорівневих API для кривих GF(2^m) у випадках, коли використовуються недовірені значення поліномів, що може спричинити помилки пам'яті. Важливо зазначити, що стандартні сертифікати X.509 не зачіпаються цією вразливістю, оскільки кодування X9.62 не передбачає використання проблемних значень.
Рекомендації:
- Проведіть інвентаризацію коду на предмет використання низькорівневих API для кривих GF(2^m) з явними параметрами.
- Якщо ваш застосунок використовує такі параметри, оновіть бібліотеку OpenSSL до версії, що містить виправлення.
- Переконайтеся, що вхідні дані для криптографічних функцій проходять сувору валідацію, особливо якщо вони надходять із зовнішніх джерел.
Що це означає для бізнесу
Вразливість у низькорівневих API OpenSSL для кривих GF(2^m) може призвести до помилок пам'яті при використанні недовірених параметрів. Хоча стандартні сертифікати X.509 не зачіпаються, розробники, що працюють з кастомними криптографічними реалізаціями, мають перевірити свій код. Це питання стабільності та безпеки застосунків, які покладаються на специфічні криптографічні функції.
Практичний крок: Проведіть інвентаризацію коду на предмет використання низькорівневих API для кривих GF(2^m) та оновіть бібліотеку OpenSSL. Зверніться до Softline за консультацією з розробки безпечного програмного забезпечення, щоб переконатися, що ваші криптографічні рішення відповідають сучасним стандартам захисту.
Використані джерела
- openssl-library.org (openssl-library.org)