Ûnderhâld releases fan de OpenSSL kryptografyske bibleteek 3.0.1 en 1.1.1m binne beskikber. Ferzje 3.0.1 reparearret de kwetsberens (CVE-2021-4044), en sawat in tsiental bugs binne repareare yn beide releases.
De kwetsberens bestiet yn 'e ymplemintaasje fan SSL / TLS-kliïnten en komt troch it feit dat de libssl-bibleteek ferkeard omgiet negative flaterkoadewearden weromjûn troch de X509_verify_cert() funksje, neamd om it sertifikaat te ferifiearjen dat troch de tsjinner nei de kliïnt is trochjûn. Negative koades wurde weromjûn as ynterne flaters foarkomme, Bygelyks, as it is ûnmooglik te allocate ûnthâld foar in buffer. As sa'n flater wurdt weromjûn, sille folgjende oproppen nei I/O-funksjes lykas SSL_connect () en SSL_do_handshake () in mislearring werombringe en de flaterkoade SSL_ERROR_WANT_RETRY_VERIFY, dy't allinich weromjûn wurde moat as de applikaasje earder in oprop makke hat nei SSL_CTX_set_cert_verify_callback () .
Sûnt de measte applikaasjes net neame SSL_CTX_set_cert_verify_callback (), kin it foarkommen fan in SSL_ERROR_WANT_RETRY_VERIFY flater wurde ferkeard ynterpretearre en resultearje yn in crash, loop, of oare ferkearde gedrach. It probleem is it gefaarlikst yn kombinaasje mei in oare brek yn OpenSSL 3.0, dy't liedt ta in ynterne flater as X509_verify_cert () sertifikaten ferwurket sûnder de útwreiding fan "Subject Alternative Name", mar mei nammebindingen yn gebrûksbeperkingen. Yn dit gefal kin de oanfal resultearje yn applikaasje-ôfhinklike anomalies yn sertifikaatferwurking en TLS-sesje-oprjochting.
Boarne: opennet.ru