![[CERT-SE]](/static/img/cert-se.svg)
![[MSB]](/static/img/msb.svg)
Uppdaterad | Publicerad
SR12-068 OpenSSL - Sårbar hantering av ASN.1 DER
Heap-baserad buffertöverflödning kan potentiellt leda till exekvering av godtycklig kod.
Problembeskrivning
CVE-referens: CVE-2012-2110
Tavis Ormandy vid Google Security Team har upptäckt en sårbarhet i OpenSSL. Sårbarheten beror på en stort antal felaktiga heltalskonverteringar i funktionen asn1_d2i_read_bio.
Applikationer eller system som med BIO- eller FILE-baserade funktioner läser icke tillförlitlig DER-kodad information är potentiellt sårbara. Applikationer som endast använder PEM är dock ej sårbara.
Värt att notera är att SSL/TLS-koden i OpenSSL ej heller är påverkad.
Sårbarheten är åtgärdad i OpenSSL version 1.0.1a, 1.0.0i och 0.9.8v.
Påverkade versioner
- OpenSSL tidigare än 1.0.1a
- OpenSSL tidigare än 1.0.0i
- OpenSSL tidigare än 0.9.8v