Byl vydán opravný release kryptografické knihovny OpenSSL 1.1.1k, ve kterém byly odstraněny dvě zranitelnosti, kterým byla přiřazena vysoká úroveň nebezpečí:
- CVE-2021-3450 — možnost obejít ověření certifikátu certifikační autority při zapnuté volbě X509_V_FLAG_X509_STRICT, která je ve výchozím nastavení vypnutá a používá se pro dodatečné ověření existenci certifikátů v řetězci. Problém byl zaveden v nové kontrole, která se objevila v OpenSSL 1.1.1h, a zakazuje použití certifikátů v řetězci, ve kterých jsou výslovně zakódovány parametry eliptické křivky.
V důsledku chyby v kódu nová kontrola přepisovala výsledek předchozí kontroly platnosti certifikátu certifikační autority. V důsledku toho byly certifikáty podepsané samopodepsaným certifikátem, který není spojen s řetězcem důvěry certifikační autority, zpracovávány jako plně důvěryhodné. Zranitelnost se neprojevuje v případě nastavení parametru "purpose", který je ve výchozím nastavení používán v procesech kontroly klientských a serverových certifikátů v libssl (používá se pro TLS).
- CVE-2021-3449 — možnost vyvolání pádu serveru TLS prostřednictvím odeslání speciálně upravené zprávy ClientHello klientem. Problém souvisí s dereferencováním NULL ukazatele v implementaci rozšíření signature_algorithms. Problém se projevuje pouze na serverech s podporou TLSv1.2 a povolením opětovného vyjednávání spojení (výchozí nastavení je zapnuto).
Zdroj: opennet.ru
