CVE-2024-4603

Provedores FIPS das versões 3.0 e 3.1 do OpenSSL

O problema está relacionado às funções EVP PKEY param check() e EVP PKEY public check() na biblioteca OpenSSL, que podem levar a um ataque de Negação de Serviço (DoS) ao verificar chaves ou parâmetros DSA excessivamente longos. Essas funções realizam várias verificações nos parâmetros DSA, e alguns cálculos podem demorar muito tempo se o módulo (parâmetro p) for muito grande. Um aplicativo que chame essas funções e forneça uma chave ou parâmetros obtidos de uma fonte não confiável pode estar vulnerável a um ataque DoS. A implementação SSL/TLS do OpenSSL não é afetada por este problema.

Para os provedores FIPS das versões 3.0 e 3.1 do OpenSSL, considere desativar as funções EVP PKEY param check() e EVP PKEY public check() até que um patch esteja disponível. Restrinja o acesso aos aplicativos de linha de comando pkey e pkeyparam ao usar a opção -check para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.