OpenSSL暴露“严重”漏洞腾讯安全已支持全方位检测防护（CVE-2022-3786和CVE-2022-3602）

发布于：2024-10-24 编辑：匿名来源：网络

上周，业界广泛使用的开源软件包OpenSSL加密和安全通信的漏洞被暴露，存在“严重”级漏洞。直到11月1日，OpenSSL基金会终于发布了OpenSSL 3.0.7版本，并公布了已修复的两个高危漏洞的详细信息。

据安全媒体《SecurityWeek》报道，这是OpenSSL今年以来首个重大漏洞。受OpenSSL漏洞影响，原定于10月中旬发布的Fedora 37也被推迟至11月中旬。

漏洞详情公布后，腾讯安全迅速做出回应。目前，腾讯云主机安全和Web应用防火墙支持OpenSSL溢出漏洞的检测和防护。

由于OpenSSL应用广泛，腾讯安全专家建议使用3.0.0-3.0.6版本的用户升级到最新版本3.0.7。 1.漏洞概述 SSL是一种流行的加密技术，是Secure Socket Layer（安全套接字层协议）的缩写，可以保护通过互联网传输的用户隐私信息。

目前主要应用于网上银行、网上支付、电子商务网站、门户网站。广泛应用于网站、电子邮件等重要网站。

OpenSSL 是用于安全通信的 SSL 和 TLS 协议的开源软件包。它包括主要的密码算法、常用的密钥和证书封装管理功能以及SSL协议，可以提供丰富的应用程序用于测试或其他目的。

使用目的。目前，OpenSSL已经集成到多个操作系统和各种软件中。

根据官方描述，本次OpenSSL暴露的两个漏洞CVE-和CVE-是OpenSSL中X.证书验证中的缓冲区溢出漏洞。当证书包含特制的恶意电子邮件地址时，它可能会触发缓冲区溢出，从而导致拒绝服务 (DOS) 或潜在的远程代码执行。

2.漏洞详情CVE-：CVE-是OpenSSL中X.证书验证的名称约束检查功能中的缓冲区溢出漏洞。当证书包含旨在触发缓冲区溢出的特制 punycode 电子邮件地址时，可能会发生此漏洞。

成功利用此漏洞可能会导致拒绝服务 (DOS) 和其他后果。值得一提的是，由于利用该漏洞还可能发生远程代码执行（RCE），因此CVE-最初被评为“严重”，并在各大公共平台和社区持续发酵。

然而，在研究和预发布补丁的一周中，OpenSSL 官方发现大多数现代平台都会包含堆栈溢出保护机制，并且已经验证在某些 Linux 发行版中，RCE 和 DOS 由于堆栈布局的原因并不可行。。

这降低了该漏洞导致 RCE 的可能性。综上所述，该漏洞在实际情况下造成的RCE风险实际上低于漏洞曝光时人们的预期。

因此，OpenSSL对该漏洞的评级也从“严重”变为“高风险”。此外，要利用此漏洞，攻击者需要说服证书颁发机构签署恶意证书或“允许应用程序继续进行证书验证，而无需构建通往受信任颁发者的路径”。

CVE-：与 CVE- 不同，CVE- 最初并未被评为“严重”。因为在其利用过程中，攻击者只能控制覆盖的长度，而不能控制覆盖的内容。

因此，该漏洞不会导致任何平台上的远程代码执行。此外，要利用此漏洞，攻击者还需要说服证书颁发机构签署恶意证书，或者“允许应用程序继续进行证书验证，而无需构建通往可信颁发者的路径”。

受影响的版本：OpenSSL 表示 CVE-、CVE- 是在 OpenSSL 3.0.0 添加其 punycode 解码功能“用于处理 X.certificates 中的电子邮件地址名称限制”之后引入的。因此，该漏洞仅影响OpenSSL 3.0.0至OpenSSL 3.0.6。

3、官方针对该漏洞的修复建议升级OpenSSL至安全版本：已安装OpenSSL 3.0.0 - 3.0.6的用户受该漏洞影响，建议尽快升级至3.0.7版本。获取链接：7 天免费试用。

收到试用后，您只需几个简单的步骤即可完成保护访问。为了完成漏洞的检测、防护和修复，建议开始试用云防火墙、Web应用防火墙、主机安全这三个产品。

（1）一键试用（已购买的客户可跳过）、漏洞检测（1）使用腾讯T-Sec主机安全（云镜像）检测服务器漏洞并登录腾讯主机安全控制台排查OpenSSL问题溢出漏洞。详细步骤如下：主机安全（云镜像）控制台：如果当前进入【授权管理】页面绑定主机安全授权，选择“绑定授权”，选择需要扫描的机器；在授权管理页面，打开【漏洞管理】->紧急漏洞，扫描检测“紧急漏洞-OpenSSL溢出漏洞”，查看扫描到的漏洞风险项；确认资产存在脆弱性风险；升级到安全版本；返回主机安全（云镜像）控制台，再次打开【漏洞管理】，重新检测，确保资产不受漏洞影响。

（2）容器镜像：使用腾讯容器安全服务（TCSS）检测容器镜像漏洞。登录腾讯容器安全服务控制台，进入【漏洞管理】页面，对本地镜像和仓库镜像进行排查。

具体步骤如下：容器安全服务控制台：打开【漏洞管理】->紧急漏洞，点击“一键检测”或“检测紧急漏洞”； 2）如果图片未授权，可以点击批量授权，选择图片授权扫描； 3）扫描完成后，点击详情，确认资产存在漏洞风险； 4）升级到安全版本； 5）返回容器安全服务控制台，再次打开【漏洞管理】，重新检查，确保资产不受漏洞影响。 3、漏洞防御（1）使用腾讯T-Sec Web应用防火墙（WAF）防御漏洞攻击。

腾讯安全Web应用防火墙支持OpenSSL溢出漏洞防护。接入WAF的域名可用于清理通过WAF的漏洞利用流量。

具体如下： 1）确认业务是否接入Web应用防火墙（以下简称WAF）：如果业务在腾讯云外，则使用SaaS-WAF（需要域名调度）。详细访问说明：Web应用防火墙控制台，依次打开左侧【资产中心-域名列表】，添加域名并启用保护。

具体步骤如下： Web应用防火墙控制台：【资产中心—域名列表】，点击【添加域名】。 SaaS-WAF域名接入：输入域名，配置端口、源站地址或域名，单击“确定”。

添加域名成功后，【资产中心—基础安全】保护默认开启。 CLB-WAF（负载均衡）域名访问：输入域名，配置代理、负载均衡监听，单击“确定”。

添加域名成功后，【资产中心—基础安全】保护默认开启。检查配置域名列表、保护开关、回源IP等访问状态，确认访问成功。

OpenSSL暴露“严重”漏洞腾讯安全已支持全方位检测防护（CVE-2022-3786和CVE-2022-3602）

站长声明

标签：

上一篇：腾讯云七层CLB重定向全解析：配置、安全、实用优化及常见错误

下一篇：【Spring Boot源码学习】@SpringBootApplication注解

ATLATL获得高瓴数亿美元融资，联合启动Aseed+首飞计划

投资界（ID：pedaily）消息，今年1月，朗润旗下ATLATLInnovation（“ATLATL”）朗润集团（“朗润”）完成数亿美元融资，高瓴独家投资。同时，双方还将以ATLATL为平台，共同启动Aseed+首飞计划，计划支持未来五年50个生命科学前沿创新项目的概念验证和实施孵化，为创业者在生

06-17
我在公司楼下发现了134种植物，其中91种可以入药，25种可以食用，还有2种是入侵物种

在整理植物时，我选择百度百科的原因是很多植物的名字只是在中国有，但在维基百科上找不到。例如，上述“金脉居床”的正式中文名称应为“黄脉居床”；比如“幸福树”，听起来幸福和谐，官方中文名称是“豆树”；比如霸气的“雷神”，官方中文名称是“环叶龙舌兰”；比如简单

06-21
威海碳纤维等复合材料产业集群子基金正式成立

据投资界7月10日消息，航融临港（威海）股权投资基金合伙企业（有限合伙）现已完成注册并已挂牌投入运行。这是继威海尚元一期创业投资合伙企业（有限合伙）完成设立威海市新的医药医疗器械产业集群子基金后，威海市又一产业集群子基金正式成立。据悉，该基金的设立是为了加

06-18
广东成发顺盛股权投资基金成立，总规模5亿元

据投资界4月10日消息，近日，广东成发顺盛股权投资基金合作签约仪式在顺德高新举行区、佛山高新区管委会主任弗拉基米尔潘东生、顺德区副区长区长蔡伟、顺德高新区管委会主任梁嘉斌、广州成发投资基金管理有限公司董事长林耀军及相关领导及嘉宾出席仪式并共同见证签约。据悉，

06-17
半年内获得两轮融资后，海峰教育又获数千万美元C轮融资

据投资界1月4日消息，K12在线一对一教育海峰教育家教品牌，宣布完成好未来、源码资本数千投资。 10,000C轮融资。这也是海峰教育继去年7月完成B轮融资后，半年内获得的第二笔融资。本轮融资后，海峰教育将持续投入技术和教学研发，加强“智慧教学+真人教学”双引擎教学体系

06-17
应用材料与复旦大学联合举办半导体技术系列讲座

分享材料工程最新进展，助力高校半导体人才培养3月22日，上海——应用材料与复旦大学联合举办半导体技术系列讲座3月21日，上海。复旦大学上海邯郸校区隆重开学。应用材料中国区总裁张天浩、应用材料中国区首席技术官赵干明博士出席开幕讲座，并发表了《材料工程驱动科技成就

06-06
FITURE完成3亿美元B轮融资，健身领域最快独角兽融资

投资界（ID：pedaily）4月14日消息，中国智能健身公司FITURE（Fitting the Future）宣布完成3亿美元融资处于B轮融资。本轮融资由明星基金、君联资本、DST Global、Coatue领投，红杉中国、腾讯、C Capital、高鹄资本、蔚来资本、金沙江创投、黑蚂蚁资本、中一资本、CPE、BAI等

06-18
首支生物医药产业基金在山东菏泽成立

3月25日消息，菏泽现代医疗港生物医药产业股权投资基金管理公司今日正式成立。该基金由菏泽现代医疗港管理服务中心牵头，是市级平台公司参与设立的菏泽地区首支真正意义上的生物医药产业基金。菏泽现代医疗港管理服务中心副主任刘宝东介绍，设立生物医药产业发展基金的主要

06-17
恒大投资1200亿建新能源汽车基地，许家印继续“忙造车”

据投资界6月17日消息，昨日，恒大集团与沉阳市人民政府签署战略合作协议。双方将在多个领域开展合作。恒大集团将投资1亿元在沈阳建设三个新能源汽车基地等项目。其中，恒大新能源汽车整车研发生产基地将落户浑南区，轮毂电机研发生产基地及动力电池超级工厂将落户铁西区。

06-18
诚信：塑造个人品质的基石

诚信蔡崇信先生在耶鲁大学演讲时分享了自己的成长经历和价值观。小时候，他出于好奇打开了豆腐干的包装，并被母亲教导为人正直，这影响了他一生的价值观。他在耶鲁大学的经历教会了他多样性和包容性的重要性，并培养了他的团队合作和领导技能。法律和私募股权领域的经验，

06-18
KKR 为其第三只亚洲基金募资超百亿美元

据外媒报道，KKR & Co. 为其第三只亚洲基金募资逾1亿美元，预计将积累一家美国私人募集的资金地区股权投资公司。有史以来最大的收购资金。知情人士人士表示，总部位于纽约的收购巨头公司在正式启动后7个月内就完成了1亿美元目标的80%，并计划在本月底完成首轮融资。如果按

06-18
昆山第二支QFLP基金启动

投资界消息（ID：pedaily），7月21日上午，诺安一号QFLP基金签约仪式举行。昆山旅游度假区与裕信狮城私募基金管理有限公司签署协议，该基金成为继交银华侨数字经济股权投资基金后第二支落户昆山的QFLP基金。外商投资股权投资企业试点（QFLP）是指外国企业或个人参与投资设立

06-17