OpenSSL 1.1.1g публикува коригиране на уязвимостта на TLS 1.3

На разположение коригиращо издание на криптографската библиотека OpenSSL 1.1.1g, при което се елиминира уязвимост (CVE-2020 1967-), което води до отказ на услуга при опит за преговаряне на TLS 1.3 връзка с контролиран от нападател сървър или клиент. Уязвимостта е оценена като висока сериозност.

Проблемът се появява само в приложения, които използват функцията SSL_check_chain() и причинява срив на процеса, ако TLS разширението „signature_algorithms_cert“ се използва неправилно. По-специално, ако процесът на договаряне на връзката получи неподдържана или неправилна стойност за алгоритъма за обработка на цифров подпис, възниква дерефериране на указател NULL и процесът се срива. Проблемът се появява след пускането на OpenSSL 1.1.1d.

Източник: opennet.ru