🥇OpenSSL 3.4.1 দুর্বলতা সহ আপডেট

OpenSSL 3.0.16, 3.1.8, 3.2.4, 3.3.3, এবং 3.4.1 এখন প্যাচ রিলিজের জন্য উপলব্ধ। সংস্করণ 3.2.4, 3.3.3, এবং 3.4.1 একটি দুর্বলতা (CVE-2024-12797) মোকাবেলা করে, যা একটি উচ্চ তীব্রতার স্তর নির্ধারণ করা হয়েছে। এই দুর্বলতা TLS এবং DTLS সংযোগগুলিতে ম্যান-ইন-দ্য-মিডল আক্রমণের অনুমতি দেয়। সমস্যাটি শুধুমাত্র সেই সিস্টেমগুলিকে প্রভাবিত করে যারা ক্লায়েন্ট প্রমাণীকরণের জন্য Raw Public Key (RPK, RFC 7250) ব্যবহার করে। ডিফল্টরূপে, ক্লায়েন্ট সাইডে RPK সমর্থন অক্ষম থাকে। সার্ভার.

SSL_VERIFY_PEER ভেরিফিকেশন মোড ব্যবহার করে সংযোগ স্থাপনের সময় OpenSSL সার্ভার অথেনটিকেশন ব্যর্থতা সম্পর্কে ক্লায়েন্টকে কোনো তথ্য ফেরত দেয় না, যার ফলে এই দুর্বলতাটি ঘটে। কারণ, সংযোগ আলোচনার প্রক্রিয়াটি সঠিকভাবে সমাপ্ত হয় না। একজন আক্রমণকারী ম্যান-ইন-দ্য-মিডল অ্যাটাক চালিয়ে টার্গেট সার্ভারের পরিবর্তে ট্র্যাফিককে তার নিজের হোস্টে রিডাইরেক্ট করতে পারে এবং ক্লায়েন্ট এই তথ্য পাবে না যে... সার্ভার প্রমাণীকরণ করা যায়নি। সমস্যাটি OpenSSL 3.2 থেকে বিদ্যমান, যেটি X.509 সার্টিফিকেটের পরিবর্তে RPK ব্যবহারের সুবিধা চালু করেছিল।

অতিরিক্তভাবে, OpenSSL আপডেটগুলি CVE-2024-13176 দুর্বলতা ঠিক করে, যা একটি সাইড-চ্যানেল আক্রমণকে ডিজিটাল স্বাক্ষর তৈরির সময় ঘটে যাওয়া বিলম্ব বিশ্লেষণ করে একটি ECDSA প্রাইভেট কী পুনরায় তৈরি করতে দেয়। দুর্বলতার সারমর্ম হল যে কিছু ধরণের উপবৃত্তাকার বক্ররেখার জন্য, উদাহরণস্বরূপ, NIST P-521, ইনিশিয়ালাইজেশন ভেক্টরের (ননস) উল্টানো মানের শূন্য সিনিয়র বিট সহ গণনাগুলি সাধারণ ভর থেকে আলাদা করা যেতে পারে, যার প্রক্রিয়াকরণ সময় 300 ন্যানোসেকেন্ড দ্বারা পৃথক হয়।

ECDSA-এর ক্ষেত্রে, IV তথ্যের কয়েকটি বিটও নির্ধারণ করা সমগ্র ব্যক্তিগত কী-এর উপর একটি ধারাবাহিক পুনরুদ্ধার আক্রমণ সম্পাদনের জন্য যথেষ্ট। সফলভাবে আক্রমণ পরিচালনা করার জন্য, একজন আক্রমণকারীর অবশ্যই অ্যাপ্লিকেশনটি চালানোর জন্য স্থানীয় সিস্টেমে অ্যাক্সেস থাকতে হবে যা ডিজিটাল স্বাক্ষর তৈরি করে, অথবা খুব কম ল্যাটেন্সি সহ অ্যাপ্লিকেশনটিতে উচ্চ-গতির নেটওয়ার্ক অ্যাক্সেস থাকতে হবে। একজন আক্রমণকারীকে অবশ্যই তার পরিচিত তথ্যের উপর তৈরি বিপুল সংখ্যক ডিজিটাল স্বাক্ষরের উৎপাদন সময়কাল অত্যন্ত নির্ভুলতার সাথে বিশ্লেষণ করতে সক্ষম হতে হবে।

উত্স: opennet.ru

দুর্বলতা ঠিক করার জন্য OpenSSL 3.4.1 আপডেট করা হয়েছে