OpenSSL 3.0.4 এর দুর্বলতা দূরবর্তী প্রক্রিয়া মেমরি দুর্নীতির দিকে পরিচালিত করে

OpenSSL ক্রিপ্টোগ্রাফিক লাইব্রেরিতে একটি দুর্বলতা চিহ্নিত করা হয়েছে (CVE এখনও বরাদ্দ করা হয়নি), যার সাহায্যে একটি দূরবর্তী আক্রমণকারী একটি TLS সংযোগ স্থাপনের সময় বিশেষভাবে ডিজাইন করা ডেটা পাঠিয়ে প্রক্রিয়া মেমরির বিষয়বস্তুর ক্ষতি করতে পারে। এটি এখনও পরিষ্কার নয় যে সমস্যাটি আক্রমণকারী কোড এক্সিকিউশন এবং প্রসেস মেমরি থেকে ডেটা ফাঁস হতে পারে, বা এটি ক্র্যাশের মধ্যে সীমাবদ্ধ কিনা।

3.0.4 জুন প্রকাশিত OpenSSL 21 রিলিজে দুর্বলতা দেখা যায় এবং কোডে একটি ত্রুটির জন্য একটি ভুল সংশোধনের কারণে ঘটে যার ফলে বরাদ্দকৃত বাফারের বাইরে 8192 বাইট পর্যন্ত ডেটা ওভাররাইট বা পড়া হতে পারে। দুর্বলতার শোষণ শুধুমাত্র x86_64 সিস্টেমে AVX512 নির্দেশাবলীর সমর্থন সহ সম্ভব।

OpenSSL এর ফর্ক যেমন BoringSSL এবং LibreSSL, সেইসাথে OpenSSL 1.1.1 শাখা, সমস্যা দ্বারা প্রভাবিত হয় না। ফিক্স বর্তমানে শুধুমাত্র একটি প্যাচ হিসাবে উপলব্ধ. সবচেয়ে খারাপ পরিস্থিতিতে, সমস্যাটি হার্টব্লিড দুর্বলতার চেয়েও বেশি বিপজ্জনক হতে পারে, কিন্তু হুমকির মাত্রা কমে যায় যে দুর্বলতা শুধুমাত্র OpenSSL 3.0.4 রিলিজে দেখা যায়, যখন অনেকগুলি বিতরণ 1.1.1 চালাতে থাকে ডিফল্টরূপে শাখা বা সংস্করণ 3.0.4 সহ প্যাকেজ আপডেটগুলি তৈরি করার জন্য এখনও সময় নেই।

উত্স: opennet.ru