ከፍተኛ የክብደት ደረጃ የተመደቡትን ሁለት ተጋላጭነቶች የሚያስተካክለው የOpenSSL ምስጠራ ቤተ-መጽሐፍት 1.1.1k የጥገና ልቀት አለ፡
- CVE-2021-3450 - የ X509_V_FLAG_X509_STRICT ባንዲራ ሲነቃ የምስክር ወረቀት ባለስልጣን ማረጋገጫን ማለፍ ይቻላል ፣ይህም በነባሪነት የተሰናከለ እና በሰንሰለቱ ውስጥ የምስክር ወረቀቶች መኖራቸውን ለማረጋገጥ ጥቅም ላይ ይውላል። ችግሩ የተፈጠረው በOpenSSL 1.1.1h ላይ የኢሊፕቲክ ኩርባ መለኪያዎችን በግልፅ በሚያስቀምጥ ሰንሰለት ውስጥ የምስክር ወረቀቶችን መጠቀምን የሚከለክል አዲስ ቼክ ትግበራ ላይ ነው።
በኮዱ ላይ በተፈጠረ ስህተት ምክንያት አዲሱ ቼክ የምስክር ወረቀት ባለስልጣን የምስክር ወረቀት ትክክለኛነት ከዚህ ቀደም የተከናወነውን ቼክ ውጤት አልፏል። በውጤቱም፣ በራስ ፊርማ የተረጋገጠ የምስክር ወረቀት፣ በእምነቱ ሰንሰለት ከማረጋገጫ ባለስልጣን ጋር ያልተገናኘ፣ ሙሉ በሙሉ ታማኝ ተደርገው ተወስደዋል። በነባሪነት በደንበኛው እና በlibssl (ለTLS ጥቅም ላይ የሚውለው) በአገልጋይ ሰርተፍኬት የማረጋገጫ ሂደቶች ውስጥ የተቀመጠው የ"ዓላማ" መለኪያ ከተቀናበረ ተጋላጭነቱ አይታይም።
- CVE-2021-3449 - በልዩ ሁኔታ የተሰራ የClientHello መልእክት በሚልክ ደንበኛ የTLS አገልጋይ ብልሽትን መፍጠር ይቻላል። ጉዳዩ የፊርማ_አልጎሪዝም ቅጥያውን በመተግበር ላይ ከNULL ጠቋሚ ማጣቀሻ ጋር የተያያዘ ነው። ችግሩ የሚከሰተው TLSv1.2ን በሚደግፉ እና የግንኙነት ዳግም ድርድርን በሚያነቃቁ አገልጋዮች ላይ ብቻ ነው (በነባሪ የነቃ)።
ምንጭ: opennet.ru