OpenSSL-Lücke ermöglicht DoS und möglicherweise Remote Code Execution
CERT-Bund warnt vor mehreren OpenSSL-Schwachstellen, mit denen Angreifer Informationen auslesen, Dateien manipulieren oder einen Denial-of-Service-Angriff auslösen können. Siemens beschreibt für eine der Lücken einen Stack-Buffer-Overflow, der bei betroffenen Produkten einen Absturz oder möglicherweise die Ausführung von Code aus der Ferne ermöglicht.
Betroffen sind laut Siemens OpenSSL 3.6, 3.5, 3.4, 3.3 und 3.0. OpenSSL 1.1.1 und 1.0.2 seien von dieser Schwachstelle nicht betroffen. Die betroffenen FIPS-Module nennt Siemens ebenfalls als nicht betroffen, weil die CMS-Implementierung außerhalb der Grenze des FIPS-Moduls liegt.
Der Fehler liegt beim Parsen von CMS-Nachrichten mit AEAD-Verschlüsselung wie AES-GCM. Ein manipuliertes CMS- oder PKCS#7-Dokument kann einen übergroßen Initialisierungsvektor in einen zu kleinen Stack-Puffer schreiben, bevor eine Authentifizierung oder Prüfung des Integritätstags erfolgt. Dafür ist laut Siemens kein gültiges Schlüsselmaterial erforderlich.
Administratoren sollten laut Siemens die neuesten Versionen der betroffenen Produkte einspielen. Für Systeme ohne verfügbares Update empfiehlt Siemens produktspezifische Mitigationsmaßnahmen. Betreiber von E-Mail-Servern sollen verschlüsselte Verbindungen für alle SMTP-Verbindungen erzwingen, den Zugriff auf vertrauenswürdige Systeme beschränken, starke Authentifizierung einsetzen und die Server- sowie Betriebssystem-Patches aktuell halten.