OpenSSL-salauskirjastosta 1.1.1k on saatavilla ylläpitojulkaisu, joka korjaa kaksi haavoittuvuutta, joiden vakavuusaste on korkea:
- CVE-2021-3450 - Varmenteen myöntäjän varmenteen varmennus on mahdollista ohittaa, kun X509_V_FLAG_X509_STRICT-lippu on käytössä, joka on oletuksena pois käytöstä ja jota käytetään lisäksi varmenteiden olemassaolon tarkistamiseen ketjussa. Ongelma otettiin käyttöön OpenSSL 1.1.1h:n uuden tarkistuksen toteutuksessa, joka kieltää varmenteiden käytön ketjussa, joka koodaa eksplisiittisesti elliptisen käyrän parametreja.
Koodivirheen vuoksi uusi tarkistus ohitti aiemmin tehdyn varmentajan varmenteen oikeellisuuden tarkistuksen tuloksen. Tämän seurauksena varmenteita, jotka oli varmennettu itse allekirjoitetulla varmenteella, jota ei ole linkitetty luottamusketjulla varmenneviranomaiseen, käsiteltiin täysin luotettavina. Haavoittuvuus ei tule näkyviin, jos "purpose"-parametri on asetettu, joka on oletuksena asetettu asiakkaan ja palvelimen varmenteen vahvistusmenettelyissä libssl:ssä (käytetään TLS:ssä).
- CVE-2021-3449 – On mahdollista aiheuttaa TLS-palvelimen kaatumisen, kun asiakas lähettää erityisesti muodostetun ClientHello-viestin. Ongelma liittyy NULL-osoittimen viittaukseen signature_algorithms-laajennuksen toteutuksessa. Ongelma ilmenee vain palvelimissa, jotka tukevat TLSv1.2:ta ja mahdollistavat yhteyden uudelleenneuvottelun (oletusarvoisesti käytössä).
Lähde: opennet.ru