Một lỗ hổng được phân loại với mức độ nghiêm trọng trung bình đã được phát hiện trong OpenSSL phiên bản 3.0.4 trên nền tảng x86 32-bit vào ngày 05/07/2022. Lỗ hổng định danh CVE-2022-2097 ảnh hưởng đến quá trình triển khai mã hóa AES OCB (Advanced Encryption Standard - Offset codebook mode) - một phương thức mã hóa hoạt động dựa trên mã hóa khối, cung cấp tính xác thực cũng như tính riêng tư cho dữ liệu người dùng.
Chế độ AES-OCB cho nền tảng x86 32 bit được sử dụng triển khai tối ưu hóa tập chỉ lệnh mã hóa mới AES-NI của Intel và AMD, giúp cải tiến thuật toán AES và tăng tốc độ mã hóa dữ liệu. Lỗ hổng tác động đến AES-OCB làm cho dữ liệu không được mã hóa toàn bộ trong một số trường hợp, dẫn tới một số thông tin nhạy cảm hoặc quan trọng không được mã hóa trước khi lưu trữ hoặc truyền tải, gây ảnh hưởng đến tính riêng tư, tính bảo mật của dữ liệu. Nghiên cứu cho biết 16 byte dữ liệu đã tồn tại từ trước trong bộ nhớ chưa được ghi có thể bị rò rỉ. Tuy nhiên, OpenSSL không hỗ trợ bộ mật mã dựa trên OCB cho TLS và DTLS (Datagram TLS) nên cả hai đều không bị ảnh hưởng.
Tấn công khai thác lỗ hổng này có thể được phát động từ xa mà không cần bất kỳ hình thức xác thực nào. Các chuyên gia khuyến cáo, cách giảm thiểu tốt nhất là nâng cấp lên phiên bản 3.0.5.
OpenSSL cũng vừa phát hành bản vá cho lỗ hổng với mức độ nghiêm trọng trong thư viện mật mã, có thể bị khai thác để thực thi mã từ xa trong một số tình huống nhất định. Lỗ hổng được đặt tên là CVE-2022-2274 với mức độ nghiêm trọng cao, được mô tả là lỗi bộ nhớ với thao tác khóa RSA đã được giới thiệu trong OpenSSL phiên bản 3.0.4, phát hành ngày 21/06/2022. Lỗ hỗng này làm cho việc triển khai khóa RSA 2048 bit không chính xác và có khả năng làm hỏng bộ nhớ trong quá trình tính toán. Do hậu quả của việc hỏng bộ nhớ, kẻ tấn công có thể kích hoạt thực thi mã từ xa và thực hiện các hành vi gây hại.
Vấn đề nằm trong phiên bản OpenSSL 3.0.4 ảnh hưởng đến hệ thống x64 với tập lệnh AVX-512. Các phiên bản liên quan như OpenSSL 1.1.1, OpenSSL forks BoringSSL và LibreSSL đều không bị ảnh hưởng. Máy chủ cài đặt SSL/TLS hoặc các máy chủ khác sử dụng khóa riêng RSA 2048-bit đang chạy trên các máy hỗ trợ các lệnh AVX512IFMA của kiến trúc x86_64 bị ảnh hưởng bởi vấn đề này. Người dùng phiên bản OpenSSL 3.0.4 được khuyến nghị nâng cấp lên phiên bản OpenSSL 3.0.5 càng sớm càng tốt.
Trương Đình Dũng
08:00 | 29/06/2022
08:00 | 07/11/2022
09:00 | 30/06/2022
09:00 | 08/07/2022
12:00 | 12/04/2024
Ngày 03/4 vừa qua, Microsoft và công ty điện toán Quantinuum đưa ra thông báo về việc hai công ty này đã đạt được thỏa thuận then chốt trong quá trình phát triển các máy tính lượng tử khả thi về mặt thương mại.
16:00 | 13/03/2024
Ngày 12/3, gã khổng lồ công nghệ Microsoft phát hành bản vá bảo mật Patch Tuesday tháng 3 để giải quyết 60 lỗ hổng. Đáng lưu ý, trong đó có 18 lỗ hổng thực thi mã từ xa (RCE).
14:00 | 22/02/2024
Ngày 14/02/2024, Microsoft đã lên tiếng cảnh báo về một lỗ hổng bảo mật nghiêm trọng mới trong máy chủ Exchange Server đang bị khai thác rộng rãi, một ngày sau khi hãng phát hành các bản sửa lỗi cho lỗ hổng này như một phần của bản cập nhật Patch Tuesday.
16:00 | 04/12/2023
Với mong muốn được góp sức vào sự phát triển cộng đồng, mang lại giá trị cho các tổ chức/doanh nghiệp trong ngành An toàn, an ninh thông tin, sáng ngày 30/11 vừa qua, Công ty Cổ phần Tin học Mi Mi (Mi2 JSC) đã đồng hành và tham dự Hội thảo - Triển lãm Ngày An toàn thông tin Việt Nam 2023. Sự kiện do Hiệp hội An toàn thông tin Việt Nam (VNISA) tổ chức với chủ đề “An toàn dữ liệu trong thời đại điện toán đám mây và trí tuệ nhân tạo”.
Công ty được mệnh danh là “Google của Trung Quốc” - Baidu cho biết chatbot AI của hãng này, Ernie Bot đã có hơn 200 triệu người dùng trong bối cảnh cạnh tranh ngày càng khốc liệt.
19:00 | 30/04/2024