Уязвимость командной инъекции в скрипте c_rehash библиотеки OpenSSL — CVE-2022-2068
В скрипте c_rehash библиотеки OpenSSL обнаружена уязвимость командной инъекции, связанная с недостаточной санитизацией метасимволов оболочки. Проблема затрагивает пользователей OpenSSL во всех поддерживаемых ветках (1.0.2, 1.1.1, 3.0). При автоматическом выполнении скрипта в некоторых операционных системах злоумышленник может выполнить произвольные команды с его привилегиями.
Подробности
Уязвимость является продолжением проблемы, ранее описанной в CVE-2022-1292. При исправлении предыдущего дефекта код-ревью не выявило других мест в скрипте c_rehash, где имена хешируемых сертификатов могли попадать в команды, выполняемые через оболочку. Скрипт c_rehash не выполняет должную очистку метасимволов оболочки, что позволяет атакующему внедрить и выполнить произвольные команды. Затронуты следующие версии OpenSSL: - ветка 3.0: 3.0.0, 3.0.1, 3.0.2, 3.0.3; - ветка 1.1.1: от 1.1.1 до 1.1.1o; - ветка 1.0.2: от 1.0.2 до 1.0.2ze. Проблема особенно опасна тем, что в ряде операционных систем скрипт c_rehash распространяется таким образом, что выполняется автоматически. В таких конфигурациях злоумышленник может выполнить произвольные команды с привилегиями, под которыми запускается скрипт, что потенциально ведёт к компрометации системы. Числовое значение CVSS в исходной записи CVE не приводится, однако характер уязвимости (удалённое выполнение команд) позволяет отнести её к категории высокой критичности.Что делать
Разработчики OpenSSL выпустили исправления в версиях: - OpenSSL 3.0.4; - OpenSSL 1.1.1p; - OpenSSL 1.0.2zf. Рекомендуется как можно скорее обновить OpenSSL до указанных версий (или более поздних) в соответствии с инструкциями вашего дистрибутива или поставщика ПО. Дополнительно следует учитывать, что использование скрипта c_rehash считается устаревшим: его рекомендуется заменить на встроенную команду rehash из состава OpenSSL. Если обновление невозможно в кратчайшие сроки, необходимо ограничить автоматический запуск c_rehash и контролировать, какие имена файлов сертификатов попадают в обработку. Итог: CVE-2022-2068 — это повторное проявление проблемы командной инъекции в c_rehash, которая не была полностью устранена при исправлении CVE-2022-1292. Пользователям OpenSSL во всех актуальных ветках следует незамедлительно обновиться до версий 3.0.4, 1.1.1p или 1.0.2zf и отказаться от устаревшего скрипта c_rehash в пользу команды rehash.Источник: CVE Project (cvelistV5)