Pembaca seperti Anda membantu mendukung MUO. Saat Anda melakukan pembelian menggunakan tautan di situs kami, kami dapat memperoleh komisi afiliasi.
Pada minggu terakhir bulan Oktober 2022, Proyek OpenSSL mengungkapkan dua kerentanan yang ditemukan di perpustakaan OpenSSL. Baik CVE-2022-360 dan CVE-2022-3786 telah diberi label masalah tingkat keparahan "Tinggi" dengan skor CVSS 8,8, hanya 0,2 poin lebih rendah dari yang seharusnya dianggap "Kritis".
Masalahnya terletak pada proses verifikasi sertifikat yang dilakukan OpenSSL untuk autentikasi berbasis sertifikat. Eksploitasi kerentanan dapat memungkinkan penyerang meluncurkan Denial of Service (DoS) atau bahkan serangan Remote Code Execution. Patch untuk dua kelemahan yang ditemukan di OpenSSL v3.0.0 hingga v3.06 kini telah dirilis.
Apa itu OpenSSL?
OpenSSL adalah utilitas baris perintah kriptografi sumber terbuka yang banyak digunakan untuk menjaga keamanan pertukaran lalu lintas web antara klien dan server. Ini digunakan untuk menghasilkan kunci publik dan pribadi, menginstal sertifikat SSL/TLS, memverifikasi informasi sertifikat, dan menyediakan enkripsi.
Masalahnya terungkap pada 17 Oktober 2022 ketika Beruang Kutub mengungkapkan dua kerentanan tingkat tinggi yang ditemukan di OpenSSL versi 3.0.0 hingga 3.0.6 ke Proyek OpenSSL. Kerentanannya adalah CVE-2022-3602 & CVE-2022-3786.
Pada 25 Oktober 2022, berita tentang kerentanan melanda internet. Mark Cox, Insinyur Perangkat Lunak Red Hat dan Wakil Presiden Keamanan Apache Software Foundation menyampaikan berita tersebut dalam sebuah tweet.
Bagaimana Seorang Penyerang Mengeksploitasi Kerentanan Ini?
Pasangan kerentanan CVE-2022-3602 dan CVE-2022-3786 rentan terhadap serangan buffer overflow yang merupakan serangan dunia maya di mana konten memori server disalahgunakan untuk mengungkap informasi pengguna dan kunci pribadi server atau melakukan eksekusi kode jarak jauh.
CVE-2022-3602
Kerentanan ini memungkinkan penyerang memanfaatkan buffer overrun dalam verifikasi sertifikat X.509 dalam pemeriksaan batasan nama. Hal ini terjadi setelah verifikasi rantai sertifikat dan memerlukan tanda tangan CA pada sertifikat berbahaya atau verifikasi sertifikat untuk melanjutkan meskipun gagal memetakan ke penerbit tepercaya.
Seorang penyerang dapat bergabung skema phishing seperti membuat alamat email palsu untuk meluap empat byte di tumpukan. Ini dapat mengakibatkan serangan Denial-of-Service (DoS) di mana layanan menjadi tidak tersedia setelah mogok, atau penyerang dapat melakukan Eksekusi Kode Jarak Jauh, yang berarti kode dijalankan dari jarak jauh untuk mengontrol aplikasi server.
Kerentanan ini dapat dipicu jika klien TLS asli tersambung ke server jahat atau jika server TLS asli tersambung ke klien jahat.
CVE-2022-3786
Kerentanan ini dieksploitasi seperti CVE-2022-3602. Satu-satunya perbedaan adalah penyerang membuat alamat email jahat untuk meluapkan sejumlah byte yang berisi "." karakter (desimal 46). Namun, di CVE-2022-3602, hanya empat byte yang dikendalikan oleh penyerang yang dieksploitasi.
Kilas Balik Kerentanan “Heartbleed” yang Terkenal
Kembali pada tahun 2016, masalah serupa ditemukan di OpenSSL yang diberi peringkat tingkat keparahan "Kritis". Ini adalah bug penanganan memori yang memungkinkan penyerang untuk mengkompromikan kunci rahasia, kata sandi, dan informasi sensitif lainnya di server yang rentan. Bug terkenal dikenal sebagai Sedih (CVE-2014-0160) dan hingga hari ini, lebih dari 200.000 mesin dianggap rentan terhadap kelemahan ini.
Apa Perbaikannya?
Di dunia yang sadar keamanan dunia maya saat ini, banyak platform menerapkan perlindungan stack overflow untuk mencegah penyerang. Ini memberikan mitigasi yang diperlukan terhadap buffer overflow.
Mitigasi lebih lanjut terhadap kerentanan ini melibatkan pemutakhiran ke versi terbaru OpenSSL yang dirilis. Karena OpenSSL v3.0.0 hingga v3.0.6 rentan, Anda disarankan untuk memutakhirkan ke OpenSSL v3.0.7. Namun, jika Anda menggunakan OpenSSL v1.1.1 dan v1.0.2, Anda dapat terus menggunakan versi ini karena tidak terpengaruh oleh keduanya kerentanan.
Dua Kerentanan Sulit Dieksploitasi
Kemungkinan kerentanan ini disalahgunakan rendah karena salah satu syaratnya adalah sertifikat cacat yang ditandatangani oleh CA tepercaya. Karena lanskap serangan yang terus meningkat, sebagian besar sistem modern memastikan untuk menerapkan mekanisme keamanan bawaan untuk menghindari jenis serangan ini.
Keamanan dunia maya adalah kebutuhan di dunia saat ini, dengan mekanisme perlindungan bawaan dan canggih, kerentanan seperti ini sulit dieksploitasi. Berkat pembaruan keamanan yang dirilis oleh OpenSSL tepat waktu, Anda tidak perlu khawatir tentang kerentanan ini. Lakukan saja tindakan yang diperlukan seperti menambal sistem Anda dan menerapkan lapisan keamanan yang baik, dan Anda aman menggunakan OpenSSL.
