Daniel Kubec

Existe um problema na implementação do AES-GCM-SIV onde uma atualização de Additional Authenticated Data (AAD) com comprimento zero é tratada como uma reinicialização de todo o AAD fornecido anteriormente, em vez de mantê-lo inalterado. Isso faz com que mensagens sejam produzidas ou verificadas com tags de autenticação que não cobrem o AAD fornecido antes do fragmento vazio, permitindo que um invasor falsifique o AAD. Além disso, o AAD não era reiniciado durante a re-inicialização do contexto, o que significava que o AAD de usos anteriores do contexto era incluído incorretamente em novas mensagens.

Existe um problema na verificação de proteção MAC baseada em senha do Certificate Management Protocol (CMP). A biblioteca utiliza a função `X509 ALGOR get0()` para ler o parâmetro de algoritmo `protectionAlg`, que retorna um tipo de parâmetro e um ponteiro de valor. O sistema converte esse valor para um `ASN1 STRING` e o trata como um `PBMParameter` após verificar apenas que o ponteiro não é NULL, sem consultar o tipo real do parâmetro. Um invasor remoto não autenticado pode enviar uma mensagem manipulada contendo um parâmetro de tipo diferente, levando a um desreferenciamento de ponteiro inválido. Isso pode resultar em uma Negação de Serviço (DoS) ao travar aplicações que atuam como servidores CMP que aceitam mensagens protegidas por PBM, ou clientes CMP que interagem com um servidor malicioso ou interceptado. Isso ocorre na função `OSSL CMP SRV process request()` no lado do servidor e durante a validação da resposta no lado do cliente. Este problema requer que o recurso CMP esteja explicitamente habilitado.

Uma gravação fora dos limites do heap de 8 bytes ocorre durante a decodificação CMS quando o buffer de saída de desembrulho de chave (key-unwrap) é dimensionado com base no tamanho da chave desembrulhada consultada, mas a primitiva de desembrulho AES-WRAP-PAD grava mais bytes do que o relatado. Um invasor pode desencadear isso fornecendo uma mensagem CMS manipulada e modificando um único byte de OID para selecionar a variante preenchida (padded). Isso leva à corrupção do heap e normalmente resulta em uma Negação de Serviço (DoS). O problema é acessível através da função `CMS decrypt()`.

Um servidor malicioso pode explorar o TLS OCSP stapling ao entregar uma resposta manipulada através da extensão `status request`. Isso desencadeia um double-free no caminho de verificação de certificado do cliente quando a resposta stapled é verificada. Um double-free ocorre quando um programa tenta liberar o mesmo local de memória duas vezes, o que pode corromper a memória heap. Isso pode levar a uma Negação de Serviço (DoS), execução de código controlada pelo invasor ou outro comportamento indefinido. O OCSP stapling não está habilitado por padrão.

Ocorre uma desreferência de ponteiro NULL quando a verificação de certificado de cadeia parcial é habilitada juntamente com a verificação de resposta OCSP para a cadeia completa, desde que a cadeia verificada não possua uma âncora de confiança autoassinada. Isso acontece porque o código tenta acessar o próximo certificado como o emissor, mas o emissor permanece NULL para o último certificado da cadeia sob essas condições específicas. Isso pode levar ao travamento do processo e a uma consequente Negação de Serviço. O problema afeta especificamente aplicações que habilitam as flags `X509 V FLAG OCSP RESP CHECK ALL` e `X509 V FLAG PARTIAL CHAIN`, ambas desabilitadas por padrão.