બે ખતરનાક નબળાઈઓ માટે સુધારાઓ સાથે OpenSSL 1.1.1k અપડેટ

OpenSSL ક્રિપ્ટોગ્રાફિક લાઇબ્રેરી 1.1.1k નું જાળવણી પ્રકાશન ઉપલબ્ધ છે, જે બે નબળાઈઓને સુધારે છે જેને ઉચ્ચ ગંભીરતા સ્તર સોંપવામાં આવે છે:

• CVE-2021-3450 - જ્યારે X509_V_FLAG_X509_STRICT ફ્લેગ સક્ષમ હોય ત્યારે પ્રમાણપત્ર સત્તા પ્રમાણપત્રની ચકાસણીને બાયપાસ કરવાનું શક્ય છે, જે ડિફૉલ્ટ રૂપે અક્ષમ છે અને તેનો ઉપયોગ સાંકળમાં પ્રમાણપત્રોની હાજરી તપાસવા માટે થાય છે. આ સમસ્યા OpenSSL 1.1.1h ના નવા ચેકના અમલીકરણમાં રજૂ કરવામાં આવી હતી જે સ્પષ્ટપણે લંબગોળ વળાંકના પરિમાણોને એન્કોડ કરતી સાંકળમાં પ્રમાણપત્રોના ઉપયોગને પ્રતિબંધિત કરે છે.

  કોડમાં ભૂલને કારણે, નવા ચેકે પ્રમાણપત્ર સત્તાધિકારી પ્રમાણપત્રની શુદ્ધતા માટે અગાઉ કરેલા ચેકના પરિણામને ઓવરરોડ કર્યું. પરિણામે, સ્વ-હસ્તાક્ષરિત પ્રમાણપત્ર દ્વારા પ્રમાણિત પ્રમાણપત્રો, જે પ્રમાણપત્ર સત્તાધિકારી સાથે ટ્રસ્ટની સાંકળ દ્વારા જોડાયેલા નથી, તેમને સંપૂર્ણ વિશ્વાસપાત્ર ગણવામાં આવ્યા હતા. જો "હેતુ" પરિમાણ સેટ કરેલ હોય તો નબળાઈ દેખાતી નથી, જે libssl (TLS માટે વપરાયેલ) માં ક્લાયંટ અને સર્વર પ્રમાણપત્ર ચકાસણી પ્રક્રિયાઓમાં ડિફોલ્ટ રૂપે સેટ છે.

• CVE-2021-3449 - ખાસ ઘડાયેલ ક્લાયંટહેલો સંદેશ મોકલતા ક્લાયન્ટ દ્વારા TLS સર્વર ક્રેશ થવાનું શક્ય છે. આ મુદ્દો સિગ્નેચર_એલ્ગોરિધમ એક્સ્ટેંશનના અમલીકરણમાં NULL પોઇન્ટર ડિરેફરન્સ સાથે સંબંધિત છે. સમસ્યા ફક્ત એવા સર્વર્સ પર જ થાય છે જે TLSv1.2 ને સપોર્ટ કરે છે અને કનેક્શન રિનેગોશિયેશનને સક્ષમ કરે છે (ડિફૉલ્ટ રૂપે સક્ષમ).

સોર્સ: opennet.ru