Актуализацията на OpenSSL 3.0.1 коригира уязвимостта

Налични са коригиращи версии на OpenSSL криптографската библиотека 3.0.1 и 1.1.1m. Версия 3.0.1 поправи уязвимостта (CVE-2021-4044) и около дузина грешки бяха коригирани и в двете версии.

Уязвимостта съществува при внедряването на SSL/TLS клиенти и е свързана с факта, че библиотеката libssl неправилно обработва отрицателни кодове за грешки, върнати от функцията X509_verify_cert(), извикана за проверка на сертификата, предаден на клиента от сървъра. Отрицателните кодове се връщат, когато възникнат вътрешни грешки, например, ако паметта не може да бъде разпределена за буфера. Ако се върне такава грешка, последващите извиквания на I/O функции като SSL_connect() и SSL_do_handshake() ще върнат грешка и код за грешка SSL_ERROR_WANT_RETRY_VERIFY, който трябва да бъде върнат само ако приложението преди това е направило извикване на SSL_CTX_set_cert_verify_callback().

Тъй като повечето приложения не извикват SSL_CTX_set_cert_verify_callback(), появата на грешка SSL_ERROR_WANT_RETRY_VERIFY може да бъде изтълкувана погрешно и да доведе до срив, цикъл или друг неправилен отговор. Проблемът е най-опасен в комбинация с друг бъг в OpenSSL 3.0, който причинява вътрешна грешка при обработка на сертификати в X509_verify_cert() без разширението „Алтернативно име на субект“, но с обвързване на имената в ограниченията за използване. В този случай атаката може да доведе до специфични за приложението аномалии в обработката на сертификати и установяването на TLS сесия.

Източник: opennet.ru