近日，安全狗应急响应中心监测到，OpenSSL官方发布安全公告，漏洞编号为CVE-2022-1292、CVE-2022-1473。攻击者可远程利用这两个漏洞造成代码执行和拒绝服务。
?
漏洞描述
OpenSSL是OpenSSL团队的一个开源的能够实现安全套接层（SSLv2/v3）和安全传输层（TLSv1）协议的通用加密库。该产品支持多种加密算法，包括对称密码、哈希算法、安全散列算法等。
1、CVE-2022-1292：OpenSSL命令注入漏洞（中危）
由于c_rehash脚本未正确清理shell元字符的问题，可以利用该漏洞在未授权的情况下以脚本的权限执行任意命令，从而执行系统命令，导致远程代码执行。
2、CVE-2022-1473 OpenSSL拒绝服务漏洞
用于清空哈希表的OPENSSL_LH_flush()函数存在错误，导致解码证书时的内存资源管理问题，未经授权的攻击者可利用该漏洞构造恶意请求，从而造成拒绝服务。
安全通告信息
| 漏洞名称 | OpenSSL存在远程代码执行漏洞和拒绝服务漏洞 |
| 漏洞影响版本 | CVE-2022-1292： OpenSSL 1.0.2-1.0.2zd OpenSSL 1.1.1-1.1.1n OpenSSL 3.0.0、3.0.1、3.0.2 CVE-2022-1473： OpenSSL 3.0.0、3.0.1、3.0.2 |
| 漏洞危害等级 | 高危 |
| 厂商是否已发布漏洞补丁 | 是 |
| 版本更新地址 | https://www.openssl.org/source/ |
| 安全狗总预警期数 | 225 |
| 安全狗发布预警日期 | 2022年5月17日 |
| 安全狗更新预警日期 | 2022年5月17日 |
| 发布者 | 安全狗海青实验室 |
官方安全建议
安全建议
目前OpenSSL项目已经修复了这些漏洞，受影响的用户可以参考上表及时更新到相应修复版本。
参考连接：
https://www.openssl.org/source/
https://github.com/openssl/openssl/tags
