Das Ablaufen des Root-Zertifikats des Unternehmens IdenTrust (DST Root CA X3), das zur Kreuzunterzeichnung des Root-Zertifikats der Zertifizierungsstelle Let’s Encrypt verwendet wurde, führte zu Problemen bei der Überprüfung von Let’s Encrypt-Zertifikaten in Projekten, die ältere Versionen von OpenSSL und GnuTLS verwenden. Auch die LibreSSL-Bibliothek war betroffen, da die Entwickler frühere Erfahrungen im Zusammenhang mit Fehlern, die nach dem Ablaufen des Root-Zertifikats der Zertifizierungsstelle Sectigo (Comodo) auftraten, nicht berücksichtigt hatten.
Wir erinnern daran, dass in OpenSSL-Versionen bis einschließlich Branch 1.0.2 und in GnuTLS bis zur Version 3.6.14 ein Fehler vorhanden war, der eine korrekte Verarbeitung von kreuzunterzeichneten Zertifikaten verhinderte, wenn eines der verwendeten Root-Zertifikate abgelaufen war, selbst wenn andere gültige Vertrauensketten vorhanden waren (im Fall von Let’s Encrypt führt das Ablaufen des Root-Zertifikats IdenTrust dazu, dass die Überprüfung nicht möglich ist, auch wenn das System ein eigenes, bis 2030 gültiges Let’s Encrypt-Root-Zertifikat unterstützt). Der Kern des Problems ist, dass ältere Versionen von OpenSSL und GnuTLS das Zertifikat als lineare Kette interpretierten, während gemäß RFC 4158 ein Zertifikat einen gerichteten verteilten zyklischen Graphen mit mehreren Vertrauensanker darstellen kann, die berücksichtigt werden müssen.
Um den Ausfall zu umgehen, wird empfohlen, das Zertifikat „DST Root CA X3“ aus dem Systemstore ( /etc/ca-certificates.conf und /etc/ssl/certs) zu entfernen und danach den Befehl „update-ca-certificates -f -v“ auszuführen. In CentOS und RHEL kann das Zertifikat „DST Root CA X3“ auf die schwarze Liste gesetzt werden: trust dump —filter „pkcs11:id=“ | openssl x509 | sudo tee /etc/pki/ca-trust/source/blacklist/DST-Root-CA-X3.pem sudo update-ca-trust extract
Einige der aufgetretenen Fehler, die nach dem Ablaufen des Root-Zertifikats IdenTrust auftraten:
- Die syspatch-Utility in OpenBSD funktioniert nicht mehr, was zur Installation von binären Systemupdates verwendet wird. Das OpenBSD-Projekt hat heute eiligst Patches für die Versionen 6.8 und 6.9 veröffentlicht, die Probleme mit der Überprüfung von cross-signierten Zertifikaten in LibreSSL beheben, da eines derRoot-Zertifikate in der Vertrauenskette abgelaufen ist. Als Umgehungslösung wird empfohlen, in /etc/installurl von HTTPS auf HTTP umzuschalten (was der Sicherheit nicht schadet, da Updates zusätzlich durch digitale Signaturen verifiziert werden) oder ein alternatives Mirror auszuwählen (ftp.usa.openbsd.org, ftp.hostserver.de, cdn.openbsd.org). Es ist auch möglich, das abgelaufene Root-Zertifikat DST Root CA X3 aus der Datei /etc/ssl/cert.pem zu entfernen.
- Ähnliche Probleme treten in DragonFly BSD bei der Arbeit mit DPorts auf. Beim Start des Paketmanagers pkg wird ein Zertifikatsüberprüfungsfehler ausgegeben. Die Behebung wurde heute in die Branches master, DragonFly_RELEASE_6_0 und DragonFly_RELEASE_5_8 hinzugefügt. Als Umgehung kann das Zertifikat DST Root CA X3 entfernt werden.
- Der Zertifikatsüberprüfungsprozess für Let's Encrypt ist in Anwendungen, die auf der Electron-Plattform basieren, gestört. Das Problem wurde in den Updates 12.2.1, 13.5.1, 14.1.0, 15.1.0 behoben.
- In einigen Distributionen gibt es Probleme beim Zugriff auf Paketrepositorys bei Verwendung des Paketmanagers APT, die mit älteren Versionen der Bibliothek GnuTLS verbunden sind. Das Problem betraf Debian 9, in dem ein fehlerhafter GnuTLS-Paket verwendet wurde, was zu Problemen beim Zugriff auf deb.debian.org für Benutzer führte, die die Updates nicht rechtzeitig installiert hatten (die Korrektur gnutls28-3.5.8-5+deb9u6 wurde am 17. September vorgeschlagen). Als Umgehungslösung wird empfohlen, die Datei DST_Root_CA_X3.crt aus /etc/ca-certificates.conf zu entfernen.
- Die Funktionalität des acme-client in der Firewall-Distribution OPNsense ist gestört; das Problem wurde im Voraus gemeldet, aber die Entwickler konnten rechtzeitig keinen Patch herausgeben.
- Das Problem betraf das OpenSSL-Paket 1.0.2k in RHEL/CentOS 7, aber vor einer Woche wurde ein Update für das Paket ca-certificates-2021.2.50-72.el7_9.noarch für RHEL 7 und CentOS 7 veröffentlicht, aus dem das IdenTrust-Zertifikat entfernt wurde, d.h. das Auftreten des Problems wurde im Voraus blockiert. Ein ähnliches Update wurde vor einer Woche für Ubuntu 16.04, Ubuntu 14.04, Ubuntu 21.04, Ubuntu 20.04 und Ubuntu 18.04 veröffentlicht. Da die Updates rechtzeitig veröffentlicht wurden, betraf das Problem bei der Überprüfung der Let's Encrypt-Zertifikate nur Benutzer älterer Versionen von RHEL/CentOS und Ubuntu, die nicht regelmäßig Updates installieren.
- Der Zertifizierungsprozess in grpc wurde gestört.
- Fehler beim Erstellen der Cloudflare Pages-Plattform.
- Probleme mit Amazon Web Services (AWS).
- Probleme beim Anschluss an die Datenbank für DigitalOcean-Benutzer.
- Ausfall der Cloud-Plattform Netlify.
- Zugangsprobleme zu den Xero-Diensten.
- Fehler beim Versuch, eine TLS-Verbindung zur Web-API des MailGun-Dienstes herzustellen.
- Fehler in den Versionen von macOS und iOS (11, 13, 14), von denen theoretisch nicht betroffen sein sollte.
- Fehler in den Catchpoint-Diensten.
- Fehler bei der Überprüfung von Zertifikaten beim Zugriff auf die API von PostMan.
- Ausfall des Guardian Firewalls.
- Störungen auf der Support-Seite von monday.com.
- Fehler auf der Cerb-Plattform.
- Fehler bei der Überprüfung der Verfügbarkeit in Google Cloud Monitoring.
- Probleme bei der Überprüfung von Zertifikaten in Cisco Umbrella Secure Web Gateway.
- Probleme mit der Verbindung zu den Proxys Bluecoat und Palo Alto.
- Bei OVHcloud gab es Probleme mit dem Anschluss an die OpenStack-API.
- Probleme mit der Erstellung von Berichten in Shopify.
- Es gibt Probleme beim Zugriff auf die Heroku-API.
- Ausfall des Ledger Live Managers.
- Fehler bei der Zertifikatsprüfung in den Entwicklerwerkzeugen für Facebook-Anwendungen.
- Probleme mit Sophos SG UTM.
- Probleme bei der Überprüfung von Zertifikaten in cPanel.
Quelle: opennet.ru
