Сегодня были обнародованы две уязвимости безопасности высокой степени серьезности, влияющие на OpenSSL, из-за которых Fedora 37 была отложена до середины ноября, чтобы позволить образам выпуска смягчить пакеты OpenSSL.

Обнародованные сегодня уязвимости OpenSSL — это переполнение 4-байтового буфера адреса электронной почты X.509 (CVE-2022-3602) и переполнение буфера адреса электронной почты X.509 переменной длины (CVE-2022-3786).

Обе уязвимости связаны с переполнением буфера при проверке сертификата X.509. CVE-2022-3602 — это уязвимость, изначально считавшаяся «критической» и приведшая к задержке выпуска Fedora 37 и тому подобного. Однако при дальнейшем анализе они решили понизить его до «высокой» серьезности.

OpenSSL 3.0.x до OpenSSL 3.0.7 подвержены этим уязвимостям, но не более старым версиям OpenSSL 1.x.

Более подробную информацию об этих уязвимостях безопасности OpenSSL можно найти на OpenSSL.org. OpenSSL 3.0.7 доступен с исправлениями.