您有一个OpenSSL高危漏洞（CVE-2022-3602）请查收

OpenSSL缓冲区溢出

CVE-2022-3.02

2022 年 11 月 1 日，OpenSSL 项目发布了一份安全公告，详细说明了 OpenSSL 库中的一个高严重性漏洞。从 3.0.0 到 3.0.6（包括）的 OpenSSL 部署易受攻击，已在 3.0.7 版本中修复。该漏洞被编号为 CVE-2022-3602。漏洞等级为：高危。

NO.1

漏洞描述

2022 年 11 月 1 日，OpenSSL 项目发布了一份安全公告，详细说明了他们认为高度严重的漏洞。该漏洞是一个内存损坏漏洞，当易受攻击的客户端或服务器验证 X.509 证书时会触发该漏洞。在客户端或服务器证书中滥用非 ASCII 代码点的特制电子邮件地址可以利用此漏洞来实现拒绝服务 (DoS) 或远程代码执行 (RCE)。

攻击者可以在易受攻击的应用程序验证不受信任的 X.509 证书（包括 TLS 证书）的任何情况下利用此漏洞。特别是，这可能涉及：

恶意服务器向易受攻击的客户端发送特制 TLS 服务器证书
恶意客户端向需要客户端 TLS 身份验证的易受攻击的服务器发送特制客户端 TLS
细节：
该漏洞存在于ossl_punycode_decode，一个提供punycode域名解码功能的函数。Punycode 在RFC3492中指定，用于将国际化域名从 Unicode 表示编码为 ASCII。例如，“Latin Small Letter Alpha”，ɑ，是 Unicode 0251。如果我们有一个域在域中使用“Latin Small Letter Alpha”，例如dɑtadog.com（第一个 a 是 unicode 字符），它就变成了 International应用程序中的域名 (IDNA) 域。
计算机将 IDNA 域转换为 punycode 域，因此dɑtadog.com变为xn--dtadog-bxc.com，其中xn–指定了一个 punycode 域。在 OpenSSL 中，ossl_punycode_decode获取一个 punycode 域的字符串缓冲区（xn–已删除）并将其转换为 Unicode 以进行额外处理。
当客户端或服务器配置为验证 X.509 证书时调用此函数。攻击者可以通过在电子邮件地址字段的域中创建包含 punycode 的特制证书来潜在地利用该漏洞。