Актуализация на OpenSSL 3.0.1 с отстранена уязвимост

Достъпни са коригиращи версии на криптографската библиотека OpenSSL 3.0.1 и 1.1.1m. В версия 3.0.1 е отстранена уязвимост (CVE-2021-4044), а в двете версии са поправени около десетина грешки.

Уязвимостта съществува в реализацията на клиентите SSL/TLS и е свързана с това, че библиотеката libssl неправилно обработва отрицателни стойности на кодовете за грешки, връщани от функцията X509_verify_cert(), която се извиква за проверка на сертификата, предоставен на клиента от сървъра. Отрицателните кодове се връщат при възникване на вътрешни грешки, например в случай на невъзможност да се задели памет за буфера. При връщане на подобна грешка, последващият извик на входно/изходни функции, като SSL_connect() и SSL_do_handshake(), ще доведе до неуспешно завършване и код на грешка SSL_ERROR_WANT_RETRY_VERIFY, който трябва да се връща само ако приложението преди това е извиквало SSL_CTX_set_cert_verify_callback().

Тъй като повечето приложения не извикват SSL_CTX_set_cert_verify_callback(), възникването на грешка SSL_ERROR_WANT_RETRY_VERIFY може да бъде неправилно интерпретирано и да доведе до срив, зацикляне или други некоректни реакции. Най-голямата опасност, която проблемът представлява, е в комбинация с друга грешка в OpenSSL 3.0, което води до вътрешна грешка при обработка на X509_verify_cert() на сертификати без разширение "Subject Alternative Name", но с ограничения, свързани с имена в использования. В този случай атаката може да причини аномалии в обработката на сертификати и установяване на TLS сесии, зависещи от приложенията.

Източник: opennet.ru