Tá scaoileadh cothabhála de leabharlann cripteagrafach OpenSSL 1.1.1k ar fáil, a shocraíonn dhá leochaileacht a sanntar leibhéal ard déine:
- CVE-2021-3450 - Is féidir fíorú teastas údaráis deimhniúcháin a sheachbhóthar nuair atá an bhratach X509_V_FLAG_X509_STRICT cumasaithe, atá díchumasaithe de réir réamhshocraithe agus a úsáidtear chun láithreacht na dteastas sa slabhra a sheiceáil freisin. Tugadh isteach an fhadhb i bhfeidhmiú OpenSSL 1.1.1h seic nua a chuireann cosc ar úsáid deimhnithe i slabhra a ionchódaíonn go sainráite paraiméadair chuair éilipseacha.
De bharr earráide sa chód, sháraigh an tseiceáil nua toradh seiceála a rinneadh roimhe seo ar chruinneas an deimhnithe údaráis deimhniúcháin. Mar thoradh air sin, déileáladh le deimhnithe arna ndeimhniú le deimhniú féin-shínithe, nach bhfuil nasctha le slabhra iontaobhais le húdarás deimhniúcháin, mar dheimhnithe lán-iontaofa. Ní bhíonn an leochaileacht le feiceáil má tá an paraiméadar “cuspóra” socraithe, atá socraithe de réir réamhshocraithe sna nósanna imeachta fíoraithe deimhnithe cliant agus freastalaí i libssl (a úsáidtear le haghaidh TLS).
- CVE-2021-3449 - Is féidir timpiste freastalaí TLS a chur faoi deara trí chliant a sheolann teachtaireacht ClientHello atá saindeartha. Tá baint ag an tsaincheist le tagairt pointeoir NULLComment i gcur i bhfeidhm an tsínidh signature_algorithms. Ní tharlaíonn an cheist ach ar fhreastalaithe a thacaíonn le TLSv1.2 agus a chumasaíonn ath-idirbheartaíocht naisc (cumasaithe de réir réamhshocraithe).
Foinse: oscailtenet.ru