近日，奇安信CERT监测到OpenSSL官方发布OpenSSL命令注入漏洞（CVE-2022-1292）通告。该漏洞由于c_rehash脚本未对外部可控数据进行有效过滤，导致可操作/etc/ssl/certs/目录的攻击者注入恶意命令，从而以该脚本的权限执行任意命令。目前，官方已发布可更新版本，建议客户尽快做好自查，及时更新至最新版本。

漏洞名称

OpenSSL命令注入漏洞

公开时间

2022-05-03

更新时间

2022-05-18

CVE编号

CVE-2022-1292

其他编号

QVD-2022-6333

威胁类型

命令执行

技术类型

命令注入

厂商

OpenSSL

产品

OpenSSL

风险等级

奇安信CERT风险评级

风险等级

中危

蓝色（一般事件）

现时威胁状态

POC状态

EXP状态

在野利用状态

技术细节状态

未知

未知

未知

未知

漏洞描述

由于c_rehash脚本未对外部可控数据进行有效过滤，导致可操作/etc/ssl/certs/目录的攻击者注入恶意命令，从而以该脚本的权限执行任意命令。

影响版本

OpenSSL 1.0.2

OpenSSL 1.1.1

OpenSSL 3.x

不受影响版本

OpenSSL 1.0.2 >= 1.0.2ze (仅针对高级用户)

OpenSSL 1.1.1 >= 1.1.1o

OpenSSL 3.0 >= 3.0.3

其他受影响组件

  • 影响Red Hat Advanced Cluster Management for Kubernetes 2中rhacm2/management-ingress-rhel7组件、Red Hat JBoss Web Server 5中OpenSSL组件，详情请参照：

https://access.redhat.com/security/cve/CVE-2022-1292

  • 影响Debian 9 OpenSSL < 1.1.0l-1~deb9u6版本，详情请参照：

https://lists.debian.org/debian-lts-announce/2022/05/msg00019.html

奇安信CERT已成功复现OpenSSL命令注入漏洞(CVE-2022-1292)，截图如下：

风险等级

奇安信 CERT风险评级为：中危

风险等级：蓝色（一般事件）

威胁评估

漏洞名称

OpenSSL命令注入漏洞

CVE编号

CVE-2022-1292

其他编号

QVD-2022-6333

CVSS 3.1评级

中危

CVSS 3.1分数

6.3

CVSS向量

访问途径（AV）

攻击复杂度（AC）

网络

低

所需权限（PR）

用户交互（UI）

低

不需要

影响范围（S）

机密性影响（C）

不变

低

完整性影响（I）

可用性影响（A）

低

低

危害描述

由于c_rehash脚本未对外部可控数据进行有效过滤，导致可操作/etc/ssl/certs/目录的攻击者注入恶意命令，从而以该脚本的权限执行任意命令。

处置建议

目前，官方已发布可更新版本，用户可升级OpenSSL版本：

OpenSSL 1.0.2 升级至 1.0.2ze (仅针对高级用户)；

OpenSSL 1.1.1 升级至 1.1.1o；

OpenSSL 3.0 升级至 3.0.3；

参照：https://www.openssl.org/source/

  • 缓解措施：

c_rehash脚本已被标记为过时，推荐使用OpenSSL rehash代替c_rehash。

  • 自检：

可以通过看系统c_rehash脚本分析是否存在该漏洞，该脚本可以通过whereis命令或者find命令查询位置。

    whereis c_rehashsudo find / -name "c_rehash"

    查看该脚本是否存在下面四行代码：

      $fname =~s/"/"\\\\\\\\""/g;my ($hash, $fprint) =`"$openssl" x509 $x509hash -fingerprint -noout -in "$fname"`;$fname =~s/"/"\\\\\\\\""/g;my ($hash, $fprint) =`"$openssl" crl $crlhash -fingerprint -noout -in "$fname"`;

      如果存在这四行代码说明该脚本存在注入漏洞。

      参考资料

      [1]https://www.openssl.org/news/secadv/20220503.txt

      [2]https://lists.debian.org/debian-lts-announce/2022/05/msg00019.html

      [3]https://access.redhat.com/security/cve/CVE-2022-1292

      声明：本文来自奇安信 CERT，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。