KnowSafe 安全预警：OpenSSL 操作系统命令注入漏洞（CVE-2022-1292）

KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2022-1292 的安全漏洞（危害等级：高危）已公开披露，相关用户应尽快排查并完成修复。

OpenSSL是Openssl团队的一个开源的能够实现安全套接层（SSLv2/v3）和安全传输层（TLSv1）协议的通用加密库。该产品支持多种加密算法，包括对称密码、哈希算法、安全散列算法等。

OpenSSL 存在操作系统命令注入漏洞，该漏洞源于c_rehash 脚本未正确清理 shell 元字符导致命令注入。攻击者利用该漏洞执行任意命令。

应用：openssl openssl（影响面 Up to (excluding) 1.0.2ze）

应用：openssl openssl（影响面 Up to (excluding) 1.1.1o）

应用：openssl openssl（影响面 Up to (excluding) 3.0.3）

系统：alibaba_cloud_linux_3 openssl（影响面 Up to (excluding) 1.1.1k-7.0.1.al8）

系统：alma_linux_8 openssl（影响面 Up to (excluding) 1.1.1k-7.el8_6）

系统：alma_linux_9 openssl（影响面 Up to (excluding) 3.0.1-41.el9_0）

系统：amazon_2 edk2（影响面 Up to (excluding) 20200801stable-1.amzn2.0.5）

系统：amazon_2022 openssl（影响面 Up to (excluding) 3.0.3-1.amzn2022.0.1）

……另有 36 项受影响环境，详见官方公告

目前厂商已发布升级补丁以修复漏洞，补丁获取链接：

https://git.openssl.org/gitweb/?p=openssl.git;a=commitdiff;h=1ad73b4d27bd8c1b369a3cd453681d3a4f1bb9b2

KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。