PT-2026-4955
CVE-2026-22796
·
تاريخ النشر
2026-01-01
·
تاريخ التحديث
2026-09-29
الوصف من
CVSS 3.1
5.3
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات OpenSSL من 1.0.2 إلى 3.6
الوصف
توجد مشكلة تتعلق بخلط الأنواع في عملية التحقق من توقيع البيانات الموقعة وفقًا لمعيار PKCS#7. يحدث هذا عند الوصول إلى عنصر من اتحاد ASN1 TYPE دون التحقق من صحة النوع أولاً، مما قد يؤدي إلى إشارة غير صالحة أو NULL عند معالجة بيانات PKCS#7 غير صحيحة. يتطلب استغلال هذه الثغرة أن يقوم المهاجم بتزويد تطبيق يقوم بالتحقق من صحة البيانات بملف PKCS#7 موقّع غير صحيح. ويؤدي استغلال هذه الثغرة إلى رفض الخدمة. يوجد الكود المعرض للثغرة داخل الدالة
PKCS7 digest from attributes()، التي تصل إلى قيمة سمة ملخص الرسالة دون التحقق من صحة نوعها. وقد يؤدي ذلك إلى الوصول إلى ذاكرة غير صالحة عبر الاتحاد ASN1 TYPE، مما يتسبب في حدوث عطل. تُعتبر واجهة برمجة التطبيقات (API) PKCS7 قديمة، ويجب على التطبيقات استخدام واجهة برمجة التطبيقات (API) CMS بدلاً منها.التوصيات
الإصدار 1.0.2 من OpenSSL: قم بالتحديث إلى إصدار أحدث.
الإصدارات من 1.1.1 إلى 3.6 من OpenSSL: قم بالتحديث إلى الإصدار الأحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾