{"id":102627,"date":"2021-12-15T21:36:51","date_gmt":"2021-12-15T19:36:51","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/obnovlenie-openssl-3-0-1-s-ustraneniem-uyazvimosti"},"modified":"2021-12-15T21:36:51","modified_gmt":"2021-12-15T19:36:51","slug":"obnovlenie-openssl-3-0-1-s-ustraneniem-uyazvimosti","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/obnovlenie-openssl-3-0-1-s-ustraneniem-uyazvimosti","title":{"rendered":"Mise \u00e0 jour OpenSSL 3.0.1 corrigeant une vuln\u00e9rabilit\u00e9","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Des mises \u00e0 jour correctrices de la biblioth\u00e8que cryptographique OpenSSL 3.0.1 et 1.1.1m sont disponibles. La version 3.0.1 corrige la vuln\u00e9rabilit\u00e9 (CVE-2021-4044), et environ une dizaine de bugs ont \u00e9t\u00e9 corrig\u00e9s dans les deux versions. <\/p>\n
La vuln\u00e9rabilit\u00e9 est pr\u00e9sente dans l'impl\u00e9mentation des clients SSL\/TLS et est li\u00e9e au fait que la biblioth\u00e8que libssl traite incorrectement les valeurs n\u00e9gatives des codes d'erreur retourn\u00e9s par la fonction X509_verify_cert(), appel\u00e9e pour v\u00e9rifier le certificat transmis au client par le serveur. Des codes n\u00e9gatifs sont retourn\u00e9s en cas d'erreurs internes, par exemple, si la m\u00e9moire ne peut pas \u00eatre allou\u00e9e pour le tampon. Lorsqu'une telle erreur est retourn\u00e9e, l'appel suivant \u00e0 des fonctions d'entr\u00e9e\/sortie, telles que SSL_connect() et SSL_do_handshake(), entra\u00eenera un \u00e9chec et un code d'erreur SSL_ERROR_WANT_RETRY_VERIFY, qui ne devrait \u00eatre retourn\u00e9 que si l'application a pr\u00e9c\u00e9demment appel\u00e9 SSL_CTX_set_cert_verify_callback(). <\/p>\n
\u00c9tant donn\u00e9 que la plupart des applications n'appellent pas SSL_CTX_set_cert_verify_callback(), l'apparition de l'erreur SSL_ERROR_WANT_RETRY_VERIFY peut \u00eatre mal interpr\u00e9t\u00e9e et conduire \u00e0 un arr\u00eat brutal, \u00e0 des boucles infinies ou \u00e0 d'autres r\u00e9actions incorrectes. Le danger le plus important de ce probl\u00e8me se manifeste en combinaison avec une autre erreur d'OpenSSL 3.0, provoquant une erreur interne lors du traitement dans X509_verify_cert() des certificats sans extension \u00ab Subject Alternative Name \u00bb, mais avec des liens de noms dans les contraintes d'utilisation. Dans ce cas, l'attaque peut entra\u00eener des anomalies dans le traitement des certificats et l'\u00e9tablissement des sessions TLS, d\u00e9pendantes des applications. \n Source : opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"