{"id":102627,"date":"2021-12-15T21:36:51","date_gmt":"2021-12-15T19:36:51","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/obnovlenie-openssl-3-0-1-s-ustraneniem-uyazvimosti"},"modified":"2021-12-15T21:36:51","modified_gmt":"2021-12-15T19:36:51","slug":"obnovlenie-openssl-3-0-1-s-ustraneniem-uyazvimosti","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/obnovlenie-openssl-3-0-1-s-ustraneniem-uyazvimosti","title":{"rendered":"Update von OpenSSL 3.0.1 zur Behebung einer Schwachstelle","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Es sind Korrekturversionen der kryptografischen Bibliothek OpenSSL 3.0.1 und 1.1.1m verf\u00fcgbar. In der Version 3.0.1 wurde eine Schwachstelle (CVE-2021-4044) behoben, au\u00dferdem wurden in beiden Versionen etwa ein Dutzend Fehler korrigiert. <\/p>\n
Die Schwachstelle tritt in der Implementierung von SSL\/TLS-Clients auf und h\u00e4ngt damit zusammen, dass die Bibliothek libssl negative Werte von Fehlercodes, die von der Funktion X509_verify_cert() zur\u00fcckgegeben werden, die zur \u00dcberpr\u00fcfung des vom Server an den Client \u00fcbermittelten Zertifikats aufgerufen wird, nicht korrekt verarbeitet. Negative Codes werden bei internen Fehlern zur\u00fcckgegeben, beispielsweise wenn der Speicher f\u00fcr einen Puffer nicht zugewiesen werden kann. Wenn ein solcher Fehler zur\u00fcckgegeben wird, f\u00fchrt der anschlie\u00dfende Aufruf von Eingabe-\/Ausgabefunktionen wie SSL_connect() und SSL_do_handshake() zu einem nicht erfolgreichen Abschluss und dem Fehlercode SSL_ERROR_WANT_RETRY_VERIFY, der nur zur\u00fcckgegeben werden sollte, wenn die Anwendung zuvor SSL_CTX_set_cert_verify_callback() aufgerufen hat. <\/p>\n
Da die meisten Anwendungen SSL_CTX_set_cert_verify_callback() nicht aufrufen, kann das Auftreten des Fehlers SSL_ERROR_WANT_RETRY_VERIFY m\u00f6glicherweise falsch interpretiert werden und zu einem Absturz, einer Endlosschleife oder anderen inkorrekten Reaktionen f\u00fchren. Das Problem stellt die gr\u00f6\u00dfte Gefahr in Kombination mit einem anderen Fehler in OpenSSL 3.0 dar, der zu einem internen Fehler bei der Verarbeitung von X509_verify_cert() f\u00fcr Zertifikate ohne die Erweiterung \u201eSubject Alternative Name\u201c, jedoch mit Bindungen an Namen in Nutzungseinschr\u00e4nkungen, f\u00fchrt. In diesem Fall kann der Angriff zu anwendungsabh\u00e4ngigen Anomalien bei der Verarbeitung von Zertifikaten und der Einrichtung von TLS-Sitzungen f\u00fchren. \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"