Normanmaurer

A biblioteca implementa o Oblivious HTTP (RFC 9458) usando a biblioteca C HPKE do BoringSSL via JNI. Quando o `sun.misc.Unsafe` não está disponível — como quando a JVM é iniciada com `-Dio.netty.noUnsafe=true`, quando um SecurityManager restringe o acesso ou em JVMs não-HotSpot — um caminho de fallback é fornecido para ByteBufs diretos que não expõem seu endereço de memória através de `hasMemoryAddress()`. Nessas configurações, um invasor de rede não autenticado pode disparar operações criptográficas com requisições OHTTP manipuladas para corromper a memória de outras conexões simultâneas e expor o conteúdo de buffers diretos agrupados adjacentes. Isso ocorre independentemente de a verificação da tag AEAD (Authenticated Encryption with Associated Data) ter sucesso, pois o BoringSSL zera o buffer de saída em caso de falha. A divulgação de informações fornece a chave de criptografia necessária para extrair os dados vazados, comprometendo a confidencialidade e a integridade de todas as conexões que compartilham a mesma arena de buffer do Netty.

A função `HKDF expand()` retorna um array de bytes não nulo preenchido com zeros em caso de falha, tornando impossível distinguir entre uma operação bem-sucedida e uma falha. Esta saída serve como material de chave para o AEAD (Authenticated Encryption with Associated Data) de resposta, o que significa que uma falha resulta em uma chave composta apenas por zeros. Da mesma forma, quando o `EVP HPKE CTX export` falha, ele retorna um array de bytes vazio preenchido com zeros, que é passado para a função `createResponseAEAD()` em `OHttpCrypto`. Esse comportamento permite a criação de uma chave AEAD determinística e previsível por um invasor.

O problema está relacionado a uma recursão infinita ao analisar uma mensagem maliciosamente criada com formato inválido, o que pode levar a um erro de estouro de pilha (StackOverflowError). Isso pode ser explorado por um invasor remoto para causar uma negação de serviço. A recursão ocorre ao analisar um TLV com type = PP2 TYPE SSL, onde o valor pode ser outro TLV com o mesmo tipo, e assim por diante. A única limitação à recursão é o comprimento do TLV, que não pode exceder 0xffff devido à sua codificação em um tipo unsigned short. Fornecer um TLV com um nível de aninhamento suficientemente grande pode causar um StackOverflowError.

The issue allows remote attackers to cause a denial of service, resulting in an infinite loop and CPU consumption, via a crafted SSLv2Hello message.