Достъпен е корекционен пакет на криптографската библиотека OpenSSL 1.1.1k, в който са отстранени две уязвимости, определени с висок риск:
- CVE-2021-3450 — възможност за заобикаляне на проверката на удостоверяващия сертификат при активиран флаг X509_V_FLAG_X509_STRICT, който е изключен по подразбиране и се използва за допълнителна проверка на наличието на сертификати в веригата. Проблемът е въведен в новата проверка, появила се в OpenSSL 1.1.1h, която забранява използването на сертификати в веригата, в които явно са кодирани параметри на елиптична крива.
Поради грешка в кода новата проверка е преопределила резултата от предходната проверка на валидността на удостоверяващия сертификат. В резултат на това сертификати, заверени с самоподписан сертификат, който няма верига на доверие с удостоверяващия център, се обработват като напълно надеждни. Уязвимостта не се проявява при задаване на параметъра „purpose“, който по подразбиране е зададен в процедурите за проверка на клиентски и сървърни сертификати в libssl (използва се за TLS).
- CVE-2021-3449 — възможност за причиняване на срив сървър на TLS чрез изпращане от клиента на специално форматирано съобщение ClientHello. Проблемът е свързан с разыменоване на NULL указател в реализацията на разширението signature_algorithms. Проблемът се проявява само на сървъри с поддръжка на TLSv1.2 и разрешение за повторно договаряне на връзката (включено по подразбиране).
Източник: opennet.ru
