OpenSSL 高危漏洞可用于中间人攻击

发布于2025年2月12日2025年7月19日作者:cve-20

OpenSSL 高危漏洞可用于中间人攻击

do son 代码卫士 2025-02-12 09:55

聚焦源代码安全，网罗国内外最新资讯！

编译：代码卫士

研究人员在 OpenSSL 中发现了一个高危漏洞CVE-2024-12797，影响传统X.509证书替代方法原始公钥 (RPKs) 的实现。

该漏洞可导致攻击者通过模拟服务器的方式执行中间人攻击。OpenSSL 在安全公告中解释称，“使用 RFC7250 RPKs 的客户端认证服务器，可能未能注意到该服务器并未进行认证，因为当设置SSL_VERIFY_PEER 验证模式时，握手并未像预期那样中止。”

OpenSSL 默认禁用RPKs，因此该漏洞进影响明确启用该特性的用户。然而，对于确实使用RPKs的用户而言，成功攻击可能造成严重影响，可能导致数据泄露和越权访问后果。

该漏洞影响 OpenSSL 3.4、3.3和3.2版本。OpenSSL已发布更新版本修复该漏洞。上述受影响用户应分别升级至OpenSSL 3.4.1、3.3.2和3.2.4版本。值得注意的是，该漏洞并不影响OpenSSL 任何版本中的FIPS模块，也不影响 OpenSSL 3.1、3.0、1.1.1和1.0.2。

该漏洞是由苹果公司在2024年12月18日报送的。OpenSSL 督促启用 RPKs 的所有用户尽快更新系统，缓解利用风险。

代码卫士试用地址：
https://codesafe.qianxin.com

开源卫士试用地址：https://oss.qianxin.com

推荐阅读

戴尔、惠普等设备被指使用过期的OpenSSL版本，易引发供应链攻击

一个变俩：全网都在焦急等待的OpenSSL“严重”漏洞来了

OpenSSL 将修复2016年以来的第一个严重漏洞

高危OpenSSL 漏洞可导致远程代码执行

惠普Teradici PCoIP 受OpenSSL 漏洞影响，波及1500万个端点

原文链接