Tá scaoileadh cothabhála de leabharlann cripteagrafach OpenSSL 1.1.1k ar fáil, a shocraíonn dhá leochaileacht a sanntar leibhéal ard déine:
- CVE-2021-3450 - Is féidir fíorú teastas údaráis deimhniúcháin a sheachbhóthar nuair atá an bhratach X509_V_FLAG_X509_STRICT cumasaithe, atá díchumasaithe de réir réamhshocraithe agus a úsáidtear chun láithreacht na dteastas sa slabhra a sheiceáil freisin. Tugadh isteach an fhadhb i bhfeidhmiú OpenSSL 1.1.1h seic nua a chuireann cosc ar úsáid deimhnithe i slabhra a ionchódaíonn go sainráite paraiméadair chuair éilipseacha.
De bharr earráide sa chód, sháraigh an tseiceáil nua toradh seiceála a rinneadh roimhe seo ar chruinneas an deimhnithe údaráis deimhniúcháin. Mar thoradh air sin, déileáladh le deimhnithe arna ndeimhniú le deimhniú féin-shínithe, nach bhfuil nasctha le slabhra iontaobhais le húdarás deimhniúcháin, mar dheimhnithe lán-iontaofa. Ní bhíonn an leochaileacht le feiceáil má tá an paraiméadar “cuspóra” socraithe, atá socraithe de réir réamhshocraithe sna nósanna imeachta fíoraithe deimhnithe cliant agus freastalaí i libssl (a úsáidtear le haghaidh TLS).
- CVE-2021-3449 – Féidearthacht go dtarlódh tuairt freastalaí TLS tríd an gcliant ag seoladh teachtaireacht ClientHello atá ceaptha go speisialta. Baineann an fhadhb le díthagairt pointeora NULL i gcur i bhfeidhm an síneadh signature_algorithms. Ní léirítear an fhadhb ach amháin i freastalaithe le tacaíocht TLSv1.2 agus ath-idirbheartaíocht nasc cumasaithe (cumasaithe de réir réamhshocraithe).
Foinse: oscailtenet.ru
