Der rettende opdatering af den kryptografiske bibliotek OpenSSL 1.1.1k er tilgængelig og løser to sårbarheder, der er klassificeret som højrisiko:
- CVE-2021-3450 - muligheden for at omgå certifikatvalideringen fra certifikatmyndigheden, når flaget X509_V_FLAG_X509_STRICT er aktiveret, hvilket som standard er deaktiveret og bruges til yderligere at kontrollere tilstedeværelsen af certifikater i kæden. Problemet opstod i OpenSSL 1.1.1h's implementation af den nye kontrol, der forhindrer brug af certikler i kæden, der har indkodede elliptiske kurveparametre.
På grund af en fejl i koden overskrev den nye kontrol resultatet af den tidligere gennemførte validering af certifikatmyndighedens certifikat. Derfor blev certifikater valideret af et selvsigneret certifikat, som ikke var knyttet til en tillidskæde med certifikatmyndigheden, behandlet som fuldt pålidelige. Sårbarheden viser sig ikke ved indstilling af parametret "purpose", som som standard anvendes i procedurerne for validering af klient- og servercertifikater i libssl (som anvendes til TLS).
- CVE-2021-3449 - muligheden for at forårsage nedbrud server TLS ved at sende en specielt formateret ClientHello-besked fra klienten. Problemet er relateret til de-referencering af NULL-pegepinden i implementeringen af udvidelsen signature_algorithms. Problemet opstår kun på servere med TLSv1.2-support og genforhandling af forbindelsen (som er aktiveret som standard).
Kilde: opennet.ru
