Ùrachadh OpenSSL 1.1.1k le fuasglaidhean airson dà chugallachd cunnartach

Tha am pasgan OpenSSL 1.1.1k ri fhaighinn a-nis, a’ càradh dà laigse a chaidh a mheas mar àrd-chinnt:

• CVE-2021-3450 — Tha e comasach dearbhadh teisteanas CA a sheachnadh nuair a bhios am bratach X509_V_FLAG_X509_STRICT air a chomasachadh. Tha am bratach seo, a tha air a dhì-chomasachadh gu bunaiteach agus air a chleachdadh airson dearbhadh a bharrachd air teisteanasan ann an slabhraidh, air a chleachdadh. Chaidh a’ chùis a thoirt a-steach ann an sgrùdadh ùr a chaidh a thoirt a-steach ann an OpenSSL 1.1.1h a chuireas casg air cleachdadh teisteanasan ann an slabhraidh a bhios a’ còdachadh paramadairean lùb eliptigeach gu soilleir.

  Air sgàth mearachd còd, chuir an sgrùdadh ùr às do thoradh sgrùdadh dearbhaidh teisteanais CA a chaidh a dhèanamh roimhe. Mar thoradh air an sin, chaidh teisteanasan a chaidh a dhearbhadh le teisteanas fèin-shoidhnichte, nach eil ceangailte ris an CA le slabhraidh earbsa, a làimhseachadh mar theisteanasan làn earbsach. Chan eil an so-leòntachd a’ nochdadh i fhèin nuair a thèid am paramadair “adhbhar” a shuidheachadh, is e sin an àbhaist ann an cleachdaidhean dearbhaidh teisteanais an neach-dèiligidh agus an fhrithealaiche ann an libssl (air a chleachdadh airson TLS).

• CVE-2021-3449 – Cothrom tubaist adhbhrachadh frithealaiche TLS tron ​​neach-dèiligidh a’ cur teachdaireachd ClientHello a chaidh a dhealbhadh gu sònraichte. Tha a’ chùis co-cheangailte ri dì-iomradh puingear NULL ann am buileachadh an leudachaidh signature_algorithms. Chan eil a’ chùis a’ nochdadh ach ann an frithealaichean le taic TLSv1.2 agus ath-rèiteachadh ceangail air a chomasachadh (air a chomasachadh gu bunaiteach).

Source: fosgailtenet.ru