摘要:
openresty-openssl111 security update
安全等级: High
公告ID: KylinSec-SA-2024-4058
发布日期: 2024年11月1日
关联CVE: CVE-2022-4450
安全修复：
函数PEM_read_bio_ex()从BIO（Basic Input/Output）中读取PEM文件，并解析和解码“名称”（例如“CERTIFICATE”）、任何头部数据和有效负载数据。如果该函数成功，则“name_out”、“header”和“data”参数将被填充为包含相关解码数据的缓冲区的指针。调用者负责释放这些缓冲区。有可能构造一个PEM文件，其有效负载数据为0字节。在这种情况下，PEM_read_bio_ex()将返回失败代码，但会将“header”参数填充为一个已释放缓冲区的指针。如果调用者也释放了这个缓冲区，就会发生双重释放，这很可能导致程序崩溃。攻击者如果能够提供恶意的PEM文件进行解析，就可以利用这一点发动拒绝服务攻击。
函数PEM_read_bio()和PEM_read()是PEM_read_bio_ex()的简单包装，因此这些函数也直接受到影响。
这些函数还被许多其他OpenSSL函数间接调用，包括PEM_X509_INFO_read_bio_ex()和SSL_CTX_use_serverinfo_file()，这些函数也同样存在漏洞。OpenSSL内部对这些函数的一些使用方式不受影响，因为在PEM_read_bio_ex()返回失败代码时，调用者不会释放“header”参数。这些位置包括PEM_read_bio_TYPE()函数以及OpenSSL 3.0中引入的解码器。
OpenSSL的asn1parse命令行应用程序也受到此问题的影响。
(CVE-2022-4450)
| cve名称 | 产品 | 组件 | 是否受影响 |
|---|---|---|---|
| CVE-2022-4450 | KY3.5.2 | openresty-openssl111 | Fixed |
| 软件名称 | 架构 | 版本号 |
|---|---|---|
| openresty-openssl111 | x86_64 | 1.1.1h-5.ky3_5 |
| openresty-openssl111-asan | x86_64 | 1.1.1h-5.ky3_5 |
| openresty-openssl111-asan-devel | x86_64 | 1.1.1h-5.ky3_5 |
| openresty-openssl111-devel | x86_64 | 1.1.1h-5.ky3_5 |
| openresty-openssl111 | aarch64 | 1.1.1h-5.ky3_5 |
| openresty-openssl111-asan | aarch64 | 1.1.1h-5.ky3_5 |
| openresty-openssl111-asan-devel | aarch64 | 1.1.1h-5.ky3_5 |
| openresty-openssl111-devel | aarch64 | 1.1.1h-5.ky3_5 |
方法一：下载安装包进行升级安装
1、通过下载链接下载需要升级的升级包保存，如 xxx.rpm
2、通过rpm命令升级，如 rpm -Uvh xxx.rpm
方法二：通过软件源进行升级安装
1、保持能够连接上互联网
2、通过yum命令升级指定的包，如 yum install 包名
openresty-openssl111-asan-devel
