CVE-2021-3712: Lettura di memoria in OpenSSL

La CVE-2021-3712 identifica un buffer overrun in OpenSSL legato alle strutture ASN1_STRING. Le funzioni di stampa ASN.1 assumono che le strutture ASN1_STRING abbiano il campo 'data' NUL-terminated, ma questo non è garantito quando l'applicazione le costruisce direttamente, bypassando le funzioni di parsing di OpenSSL. L'assunzione violata comporta lettura oltre i confini della memoria allocata.

Gravità CVSS 7,4 (HIGH). La vulnerabilità è stata corretta il 24 agosto 2021 in OpenSSL 1.1.1l e 1.0.2za. I rischi concreti sono: crash dell'applicazione (Denial of Service) e divulgazione di memoria privata (chiavi, dati sensibili). Il segnale GitHub del 6 novembre 2026 riporta attività di analisi su repository pubbliche, indicando rinnovato interesse da parte della comunità di ricerca, senza rappresentare una nuova scoperta.

Per la difesa: 1) Aggiornare OpenSSL immediatamente a versione 1.1.1l o successiva (branch 1.1.1) oppure 1.0.2za o successiva (branch 1.0.2); 2) Verificare se le proprie applicazioni costruiscono ASN1_STRING direttamente - se sì, garantire che il campo 'data' sia sempre NUL-terminated; 3) Monitorare i log dei servizi TLS/SSL per crash o comportamenti anomali che potrebbero indicare tentativi di sfruttamento. Le patch sono disponibili da anni.