Ribbon Edge SBC: dettagli su vulnerabilità Openssl CVE-2022-0778 e su come affrontarla

Con la stringa CVE-2022-0778 si identifica un attacco contro Openssl che sfrutta una vulnerabilità nella logica di analisi del certificato X.509. Il concretizzarsi dell’attacco farebbe sì che la logica di analisi di X.509 entri in un loop favorendo un attacco DoS.

Questa vulnerabilità può avere un impatto sui clienti SBC che utilizzano sessioni “mutually authenticated TLS”, i quali potrebbero trovarsi a ricevere un certificato X.509 come parte del messaggio del certificato TLS, e da qui affrontare il loop.

Ribbon suggerisce le seguenti procedure per i clienti che utilizzano mTLS:

– Applicare ACL che proteggono l’accesso a tutti i gruppi di segnalazione SIP con profili TLS configurati come client TLS o come server TLS con TLS reciproco abilitato.

– Cercare di mantenere il campo di applicazione di queste regole il più ristretto possibile

Dall’altro lato, Ribbon ha individuato una specifica soluzione anche per le seguenti versioni:

• Release 9.0 (SBC1K/2K e SWe Edge (precedentemente noto come SWeLite): Release 9.0.8 con data di rilascio GA anticipata del 31 maggio 2022
• Release 11.0 (SBC1K/2K e SWe Edge): Release 11.0.1 con data di rilascio GA anticipata del 15 aprile 2022. La previsione di correzione per SBC CNe Edge sarà disponibile a breve.

Per dettagli su come affrontare la vulnerabilità se si hanno le versioni sopraindicate, è possibile in ogni momento contattare il supporto Ribbon.