1. 漏洞描述

OpenSC 提供了一套库和实用工具，用于智能卡操作。它主要关注支持加密操作的智能卡，并促进这些卡在安全应用（如身份验证、邮件加密和数字签名）中的使用。OpenSC 实现了智能卡的标准 API，例如 PKCS#11 API、Windows 的智能卡微型驱动程序和 macOS 的 Tokend。

安全修复：

在 OpenSC、OpenSC 工具、PKCS#11 模块、微型驱动程序和 CTK 中发现了一个漏洞。
问题是预期应该被初始化（作为其他函数的参数等）的变量缺少了初始化。（CVE-2024-45615）

在 OpenSC、OpenSC 工具、PKCS#11 模块、微型驱动程序和 CTK 中发现了另一个漏洞。攻击者可以使用精心制作的 USB 设备或智能卡，向系统提供针对应用协议数据单元（APDU）的特别构造的响应。

在与卡通信时，对响应 APDU 缓冲区及其长度的控制不足，导致了以下问题。（CVE-2024-45616）

在 OpenSC、OpenSC 工具、PKCS#11 模块、微型驱动程序和 CTK 中发现了第三个漏洞。攻击者可以使用精心制作的 USB 设备或智能卡，向系统提供针对 APDUs 的特别构造的响应。

函数返回值的检查不足或缺失，导致对未初始化变量的意外操作。（CVE-2024-45617）

在 OpenSC 的 pkcs15-init 中发现了一个漏洞。攻击者可以使用精心制作的 USB 设备或智能卡，向系统提供针对 APDUs 的特别构造的响应。

函数返回值的检查不足或缺失，导致对未初始化变量的意外操作。（CVE-2024-45618）

在 OpenSC、OpenSC 工具、PKCS#11 模块、微型驱动程序和 CTK 中发现了第五个漏洞。攻击者可以使用精心制作的 USB 设备或智能卡，向系统提供针对 APDUs 的特别构造的响应。当缓冲区部分填充数据时，可能会错误地访问已初始化的缓冲区部分。（CVE-2024-45619）

在 OpenSC 的 pkcs15-init 工具中发现了第六个漏洞。攻击者可以使用精心制作的 USB 设备或智能卡，向系统提供针对 APDUs 的特别构造的响应。当缓冲区部分填充数据时，可能会错误地访问已初始化的缓冲区部分。（CVE-2024-45620）

在 libopensc 的 OpenPGP 驱动程序中发现了一个基于堆的缓冲区溢出漏洞。在使用 pkcs15-init 工具进行卡注册过程中，具有针对 APDUs 的恶意响应的精心制作的 USB 设备或智能卡可能导致越权操作，甚至可能导致任意代码执行。（CVE-2024-8443）

2. 影响范围

3. 影响组件

4. 修复版本

5. 修复方法

方法一：下载安装包进行升级安装
1、通过下载链接下载需要升级的升级包保存，如 xxx.rpm
2、通过rpm命令升级，如 rpm -Uvh xxx.rpm

方法二：通过软件源进行升级安装
1、保持能够连接上互联网
2、通过yum命令升级指定的包，如 yum install 包名

6. 下载链接

V6:

x86_64:

     opensc   

     opensc-help   

aarch64:

     opensc   

     opensc-help   

KY3.5.3:

x86_64:

     opensc-help   

     opensc   

aarch64:

     opensc-help   

     opensc   

KY3.5.2:

x86_64:

     opensc-help   

     opensc   

aarch64:

     opensc-help   

     opensc