PT-2021-3610
CVE-2021-23840
·
Publicado
2020-01-24
·
Atualizado
2026-10-31
Descrição por
CVSS 3.1
7.5
AltaMétricasAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Nome do software vulnerável e versões afetadas
Versões 1.1.1i e anteriores do OpenSSL
Versões 1.0.2x e anteriores do OpenSSL
Descrição
O problema está relacionado às funções
EVP CipherUpdate, EVP EncryptUpdate e EVP DecryptUpdate no OpenSSL, que podem causar estouro do argumento de comprimento de saída quando o comprimento de entrada estiver próximo do comprimento máximo permitido para um inteiro na plataforma. Isso pode fazer com que os aplicativos apresentem comportamento incorreto ou travem. O problema se deve a um estouro de inteiro, o que pode levar a um valor negativo para o comprimento de saída, mesmo que a chamada de função retorne um indicador de sucesso.Recomendações
Para as versões 1.1.1i e anteriores do OpenSSL, atualize para o OpenSSL 1.1.1j.
Para as versões 1.0.2x e anteriores do OpenSSL, os clientes com suporte premium devem atualizar para a versão 1.0.2y, enquanto os demais usuários devem atualizar para a versão 1.1.1j.
Como solução temporária, considere restringir o uso das funções vulneráveis
EVP CipherUpdate, EVP EncryptUpdate e EVP DecryptUpdate até que um patch esteja disponível.Explorabilidade
Exploit
Correção
Impactos
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾