দুটি বিপজ্জনক দুর্বলতার সমাধান সহ OpenSSL 1.1.1k আপডেট

OpenSSL ক্রিপ্টোগ্রাফিক লাইব্রেরি 1.1.1k-এর একটি রক্ষণাবেক্ষণ রিলিজ পাওয়া যায়, যা দুটি দুর্বলতা সংশোধন করে যেগুলিকে একটি উচ্চ তীব্রতা স্তর দেওয়া হয়েছে:

• CVE-2021-3450 - যখন X509_V_FLAG_X509_STRICT পতাকা সক্ষম করা থাকে তখন শংসাপত্র কর্তৃপক্ষের শংসাপত্রের যাচাইকরণকে বাইপাস করা সম্ভব, যা ডিফল্টরূপে অক্ষম থাকে এবং অতিরিক্তভাবে শৃঙ্খলে শংসাপত্রের উপস্থিতি পরীক্ষা করতে ব্যবহৃত হয়। সমস্যাটি OpenSSL 1.1.1h-এর একটি নতুন চেক বাস্তবায়নে প্রবর্তিত হয়েছিল যা একটি শৃঙ্খলে সার্টিফিকেট ব্যবহার নিষিদ্ধ করে যা স্পষ্টভাবে উপবৃত্তাকার বক্ররেখা পরামিতিগুলিকে এনকোড করে।

  কোডে একটি ত্রুটির কারণে, নতুন চেকটি সার্টিফিকেশন কর্তৃপক্ষের শংসাপত্রের সঠিকতার জন্য পূর্বে সম্পাদিত চেকের ফলাফলকে ওভাররোড করেছে। ফলস্বরূপ, একটি স্ব-স্বাক্ষরিত শংসাপত্র দ্বারা প্রত্যয়িত শংসাপত্রগুলি, যা একটি শংসাপত্র কর্তৃপক্ষের সাথে বিশ্বাসের শৃঙ্খল দ্বারা সংযুক্ত নয়, সম্পূর্ণরূপে বিশ্বাসযোগ্য হিসাবে বিবেচিত হয়েছিল৷ "উদ্দেশ্য" প্যারামিটার সেট করা থাকলে দুর্বলতা প্রদর্শিত হয় না, যা libssl (TLS-এর জন্য ব্যবহৃত) ক্লায়েন্ট এবং সার্ভার শংসাপত্র যাচাইকরণ পদ্ধতিতে ডিফল্টরূপে সেট করা থাকে।

• CVE-2021-3449 - একটি বিশেষভাবে তৈরি করা ClientHello বার্তা পাঠানোর মাধ্যমে একটি TLS সার্ভার ক্র্যাশ করা সম্ভব। সমস্যাটি স্বাক্ষর_অ্যালগরিদম এক্সটেনশন বাস্তবায়নে NULL পয়েন্টার ডিরেফারেন্সের সাথে সম্পর্কিত। সমস্যাটি শুধুমাত্র এমন সার্ভারে ঘটে যা TLSv1.2 সমর্থন করে এবং সংযোগ পুনর্নিবেদন সক্ষম করে (ডিফল্টরূপে সক্ষম)।

উত্স: opennet.ru