Udløbet af IdenTrust rodcertifikat (DST Root CA X3), der blev brugt til krydspodning af rodcertifikatet for certifikatmyndigheden Let’s Encrypt, har ført til problemer med validering af Let’s Encrypt certifikater i projekter, der bruger ældre versioner af OpenSSL og GnuTLS. Problemerne har også berørt biblioteket LibreSSL, hvis udviklere ikke tog højde for tidligere erfaringer fra nedbrud, der opstod efter forældelsen af rodcertifikatet AddTrust fra certifikatmyndigheden Sectigo (Comodo).
Vi minder om, at der i OpenSSL-versioner op til version 1.0.2 inklusive og i GnuTLS op til version 3.6.14 fandtes en fejl, der forhindrede korrekt behandling af krydspodede certifikater, når et af de rodcertifikater, der var involveret i signeringen, blev forældet, selvom der var andre aktive tillidskæder (i tilfælde af Let’s Encrypt forhindrer forældelsen af IdenTrust rodcertifikatet validering, selvom systemet har støtte til dets eget Let’s Encrypt rodcertifikat, der er gyldigt til 2030). Problemet er, at ældre versioner af OpenSSL og GnuTLS behandlede certifikatet som en lineær kæde, mens certifikatet i henhold til RFC 4158 kan repræsentere en rettet distribueret cyklisk graf med flere tillidspunkt, der skal tages i betragtning.
Som en midlertidig løsning på problemet anbefales det at fjerne certifikatet "DST Root CA X3" fra systemlagringen (/etc/ca-certificates.conf og /etc/ssl/certs) og derefter køre kommandoen "update-ca-certificates -f -v". I CentOS og RHEL kan man tilføje certifikatet "DST Root CA X3" til blacklisten: trust dump —filter "pkcs11:id=" | openssl x509 | sudo tee /etc/pki/ca-trust/source/blacklist/DST-Root-CA-X3.pem sudo update-ca-trust extract
Nogle af de bemærkede fejl, der er opstået efter udløbet af IdenTrust rodcertifikat:
- I OpenBSD har værktøjet syspatch, der bruges til at installere binære systemopdateringer, stoppet med at fungere. OpenBSD-projektet har hastigt udgivet opdateringer til versionerne 6.8 og 6.9 i dag, som løser problemer med LibreSSL vedrørende verifikation af krydssignerede certifikater, hvoraf et af røddercertifikaterne i tillid kæden er udløbet. Som en midlertidig løsning anbefales det at skifte i /etc/installurl fra HTTPS til HTTP (der er ingen sikkerhedsrisiko, da opdateringerne yderligere verificeres via digital signatur) eller vælge et alternativt spejl (ftp.usa.openbsd.org, ftp.hostserver.de, cdn.openbsd.org). Det er også muligt at fjerne det udløbne røddercertifikat DST Root CA X3 fra filen /etc/ssl/cert.pem.
- I DragonFly BSD opleves lignende problemer med DPorts. Ved kørsel af pakkehåndteringsværktøjet pkg opstår der en certifikatverifikationsfejl. Rettelsen er i dag tilføjet til versionerne master, DragonFly_RELEASE_6_0 og DragonFly_RELEASE_5_8. Som en midlertidig løsning kan certifikatet DST Root CA X3 fjernes.
- Der er opstået problemer med certifikatverifikationen fra Let’s Encrypt i applikationer baseret på Electron-platformen. Problemet er løst i opdateringerne 12.2.1, 13.5.1, 14.1.0, 15.1.0.
- I nogle distributioner er der problemer med adgangen til pakke-repositories ved brug af pakkehåndteringsværktøjet APT, relateret til ældre versioner af GnuTLS-biblioteket. Problemet påvirkede Debian 9, hvor den uopdaterede GnuTLS-pakke blev anvendt, hvilket førte til problemer med at tilgå deb.debian.org for brugere, der ikke havde installeret opdateringer til tiden (rettelsen gnutls28-3.5.8-5+deb9u6 blev foreslået den 17. september). Som en midlertidig løsning anbefales det at fjerne DST_Root_CA_X3.crt fra filen /etc/ca-certificates.conf.
- Funktionen af acme-client i distributionen til oprettelse af firewall OPNsense er brudt. Problemet blev rapporteret tidligere, men udviklerne fik ikke udgivet en rettelse i tide.
- Problemet berørte OpenSSL 1.0.2k-pakken i RHEL/CentOS 7, men for en uge siden blev der udgivet en opdatering af ca-certificates-pakken 2021.2.50-72.el7_9.noarch til RHEL 7 og CentOS 7, hvor certifikatet fra IdenTrust blev fjernet, hvilket forhindrede problemet i at opstå. En lignende opdatering blev også offentliggjort for Ubuntu 16.04, Ubuntu 14.04, Ubuntu 21.04, Ubuntu 20.04 og Ubuntu 18.04 for en uge siden. Da opdateringerne blev udgivet på forhånd, berørte problemet med verifikation af Let’s Encrypt-certifikater kun brugere af de gamle versioner af RHEL/CentOS og Ubuntu, som ikke regelmæssigt installerede opdateringer.
- Der er opstået problemer med certifikatverifikation i grpc.
- Fejl under opbygning af Cloudflare Pages-platformen.
- Problemer med Amazon Web Services (AWS).
- Forbindelsesproblemer til databaser for DigitalOcean-brugere.
- Fejl i driften af den cloud-baserede platform Netlify.
- Adgangsproblemer til Xero-tjenesterne.
- Fejl ved forsøg på at etablere TLS-forbindelse til MailGun's Web API.
- Fejl i macOS og iOS-versioner (11, 13, 14), som teoretisk set ikke burde have været berørt af problemet.
- Fejl i Catchpoint-tjenesterne.
- Fejl ved certifikatverifikation ved adgang til PostMan API.
- Fejl i Guardian Firewall.
- Problemer med support-siden for monday.com.
- Fejl i Cerb-platformen.
- Fejl under verifikation af uptime i Google Cloud Monitoring.
- Problemer med certifikatverifikation i Cisco Umbrella Secure Web Gateway.
- Forbindelsesproblemer til Bluecoat- og Palo Alto-proxyer.
- Problemer med forbindelsen til OpenStack API i OVHcloud.
- Problemer med rapportgenerering i Shopify.
- Der observeres problemer ved adgang til Heroku API.
- Fejl i Ledger Live Manager.
- Fejl ved certifikatverifikation i applikationsudviklerværktøjer til Facebook.
- Problemer med Sophos SG UTM.
- Problemer med certifikatverifikation i cPanel.
Kilde: opennet.ru
