Saadaval on OpenSSL 3.0.1 ja 1.1.1m krüptograafilise raamatukogu parandavad väljaanded. Versioonis 3.0.1 on kõrvaldatud haavatavus (CVE-2021-4044) ning mõlemas väljaandes on parandatud umbes tosin viga.
Haavatavus esineb SSL/TLS klientide rakendustes ja on seotud sellega, et libssl teegi vale käsitlemine negatiivsete veakoodide suhtes, mida tagastab X509_verify_cert() funktsioon, mida kutsutakse välja kliendi sertifikaadi kontrollimiseks, mille server edastas. Negatiivsed koodid tagastatakse sisevigade korral, näiteks mälu eraldamise ebaõnnestumise tõttu. Kui selline viga tagastatakse, siis järgmine sisendi/väljundi funktsioonide, nagu SSL_connect() ja SSL_do_handshake(), kutse põhjustab ebaõnnestumise ja veakoodi SSL_ERROR_WANT_RETRY_VERIFY, mis peaks tagastama ainult juhul, kui rakendus on varem kutsunud välja SSL_CTX_set_cert_verify_callback().
Kuna enamik rakendustest ei kutsu esile SSL_CTX_set_cert_verify_callback(), võib SSL_ERROR_WANT_RETRY_VERIFY tõrge vale tõlgendamise ja põhjustada avariide, lukustumise või muid ebaõigeid reaktsioone. Probleem on kõige ohtlikum kombinatsioonis teise veaga OpenSSL 3.0-s, mis põhjustab sisemise veateate tekkimise X509_verify_cert() funktsiooni käivitamisel sertifikaatidega, millel puudub "Subject Alternative Name" laiendus, kuid mis on seotud kasutuspiirangute nimedega. Sellisel juhul võib rünnak põhjustada rakendustele sõltuvaid ebanormaalsusi sertifikaatide töötlemisel ja TLS sessioonide seadistamisel.
Allikas: opennet.ru
