Сривове в OpenBSD, DragonFly BSD и Electron поради остарял основен сертификат на IdenTrust

Отмяната на основния сертификат на IdenTrust (DST Root CA X3), използван за кръстосано подписване на главния сертификат на Let's Encrypt CA, причини проблеми с проверката на сертификата Let's Encrypt в проекти, използващи по-стари версии на OpenSSL и GnuTLS. Проблемите засегнаха и библиотеката LibreSSL, чиито разработчици не взеха предвид предишния опит, свързан с повреди, възникнали след като основният сертификат AddTrust на Sectigo (Comodo) CA остаря.

Нека си припомним, че в версиите на OpenSSL до клон 1.0.2 включително и в GnuTLS преди версия 3.6.14 имаше грешка, която не позволяваше кръстосано подписаните сертификати да бъдат обработвани правилно, ако един от основните сертификати, използвани за подписване, остарее , дори ако други валидни са запазени вериги на доверие (в случая на Let's Encrypt, остаряването на главния сертификат на IdenTrust предотвратява проверката, дори ако системата има поддръжка за собствения основен сертификат на Let's Encrypt, валиден до 2030 г.). Същността на грешката е, че по-старите версии на OpenSSL и GnuTLS анализират сертификата като линейна верига, докато според RFC 4158 сертификатът може да представлява насочена разпределена кръгова графика с множество котви за доверие, които трябва да бъдат взети под внимание.

Като заобиколно решение за разрешаване на грешката се предлага да изтриете сертификата „DST Root CA X3“ от системното хранилище (/etc/ca-certificates.conf и /etc/ssl/certs) и след това да изпълните командата „актуализация -ca-сертификати -f -v” "). В CentOS и RHEL можете да добавите сертификата „DST Root CA X3“ към черния списък: trust dump —filter „pkcs11:id=%c4%a7%b1%a4%7b%2c%71%fa%db%e1% 4b%90 %75%ff%c4%15%60%85%89%10" | openssl x509 | sudo tee /etc/pki/ca-trust/source/blacklist/DST-Root-CA-X3.pem sudo update-ca-trust екстракт

Някои от сривовете, които видяхме, които са възникнали след изтичане на основния сертификат на IdenTrust:

• В OpenBSD помощната програма syspatch, използвана за инсталиране на двоични системни актуализации, спря да работи. Проектът OpenBSD днес спешно пусна пачове за клонове 6.8 и 6.9, които коригират проблеми в LibreSSL с проверка на кръстосано подписани сертификати, един от основните сертификати в веригата на доверие, на които е изтекъл. Като заобиколно решение на проблема се препоръчва да преминете от HTTPS към HTTP в /etc/installurl (това не застрашава сигурността, тъй като актуализациите се проверяват допълнително с цифров подпис) или да изберете алтернативен огледален файл (ftp.usa.openbsd. org, ftp.hostserver.de, cdn.openbsd.org). Можете също да премахнете изтеклия основен сертификат DST Root CA X3 от файла /etc/ssl/cert.pem.
• В DragonFly BSD подобни проблеми се наблюдават при работа с DPorts. При стартиране на мениджъра на пакети pkg се появява грешка при проверка на сертификата. Корекцията беше добавена днес към клоновете master, DragonFly_RELEASE_6_0 и DragonFly_RELEASE_5_8. Като заобиколно решение можете да премахнете сертификата DST Root CA X3.
• Процесът на проверка на Let's Encrypt сертификати в приложения, базирани на платформата Electron, е нарушен. Проблемът беше коригиран в актуализации 12.2.1, 13.5.1, 14.1.0, 15.1.0.
• Някои дистрибуции имат проблеми с достъпа до хранилищата на пакети, когато използват APT мениджъра на пакети, свързан с по-стари версии на библиотеката GnuTLS. Debian 9 беше засегнат от проблема, който използваше пакет GnuTLS без корекция, което доведе до проблеми при достъп до deb.debian.org за потребители, които не инсталираха актуализацията навреме (предложена беше корекцията gnutls28-3.5.8-5+deb9u6 на 17 септември). Като заобиколно решение се препоръчва да премахнете DST_Root_CA_X3.crt от файла /etc/ca-certificates.conf.
• Работата на acme-client в комплекта за разпространение за създаване на защитни стени OPNsense беше прекъсната; проблемът беше докладван предварително, но разработчиците не успяха да пуснат кръпка навреме.
• Проблемът засегна пакета OpenSSL 1.0.2k в RHEL/CentOS 7, но преди седмица бе генерирана актуализация на пакета ca-certificates-7-7.el2021.2.50_72.noarch за RHEL 7 и CentOS 9, от който IdenTrust сертификатът е премахнат, т.е. проявлението на проблема беше блокирано предварително. Подобна актуализация беше публикувана преди седмица за Ubuntu 16.04, Ubuntu 14.04, Ubuntu 21.04, Ubuntu 20.04 и Ubuntu 18.04. Тъй като актуализациите бяха пуснати предварително, проблемът с проверката на Let's Encrypt сертификати засегна само потребители на по-стари клонове на RHEL/CentOS и Ubuntu, които не инсталират редовно актуализации.
• Процесът на проверка на сертификата в grpc е повреден.
• Неуспешно изграждане на платформата Cloudflare Pages.
• Проблеми в Amazon Web Services (AWS).
• Потребителите на DigitalOcean имат проблеми при свързването с базата данни.
• Облачната платформа Netlify се срина.
• Проблеми с достъпа до услугите на Xero.
• Неуспешен опит за установяване на TLS връзка с уеб API на услугата MailGun.
• Сривове във версии на macOS и iOS (11, 13, 14), които теоретично не би трябвало да бъдат засегнати от проблема.
• Услугите на Catchpoint са неуспешни.
• Грешка при проверка на сертификати при достъп до API на PostMan.
• Защитната стена на Guardian се срина.
• Страницата за поддръжка на monday.com не работи.
• Платформата Cerb се срина.
• Неуспешна проверка на времето за работа в Google Cloud Monitoring.
• Проблем с проверката на сертификата в Cisco Umbrella Secure Web Gateway.
• Проблеми при свързване с проксита на Bluecoat и Palo Alto.
• OVHcloud има проблеми при свързването с OpenStack API.
• Проблеми с генерирането на отчети в Shopify.
• Има проблеми с достъпа до API на Heroku.
• Ledger Live Manager се срива.
• Грешка при проверка на сертификат в инструментите за разработчици на приложения на Facebook.
• Проблеми в Sophos SG UTM.
• Проблеми с проверката на сертификат в cPanel.

Източник: opennet.ru