दो खतरनाक कमजोरियों के समाधान के साथ ओपनएसएसएल 1.1.1k अपडेट

ओपनएसएसएल क्रिप्टोग्राफ़िक लाइब्रेरी 1.1.1k का एक रखरखाव रिलीज़ उपलब्ध है, जो दो कमजोरियों को ठीक करता है जिन्हें उच्च गंभीरता स्तर सौंपा गया है:

• CVE-2021-3450 - X509_V_FLAG_X509_STRICT ध्वज सक्षम होने पर प्रमाणपत्र प्राधिकारी प्रमाणपत्र के सत्यापन को बायपास करना संभव है, जो डिफ़ॉल्ट रूप से अक्षम है और श्रृंखला में प्रमाणपत्रों की उपस्थिति को अतिरिक्त रूप से जांचने के लिए उपयोग किया जाता है। समस्या ओपनएसएसएल 1.1.1एच के एक नए चेक के कार्यान्वयन में पेश की गई थी जो एक श्रृंखला में प्रमाणपत्रों के उपयोग को प्रतिबंधित करती है जो स्पष्ट रूप से अण्डाकार वक्र मापदंडों को एन्कोड करती है।

  कोड में त्रुटि के कारण, नए चेक ने प्रमाणन प्राधिकारी प्रमाणपत्र की शुद्धता के लिए पहले किए गए चेक के परिणाम को ओवरराइड कर दिया। परिणामस्वरूप, स्व-हस्ताक्षरित प्रमाणपत्र द्वारा प्रमाणित प्रमाणपत्र, जो प्रमाणन प्राधिकारी के साथ विश्वास की श्रृंखला से जुड़ा नहीं है, को पूरी तरह से भरोसेमंद माना गया। यदि "उद्देश्य" पैरामीटर सेट है, तो भेद्यता प्रकट नहीं होती है, जो कि libssl (TLS के लिए प्रयुक्त) में क्लाइंट और सर्वर प्रमाणपत्र सत्यापन प्रक्रियाओं में डिफ़ॉल्ट रूप से सेट होता है।

• सीवीई-2021-3449 - विशेष रूप से तैयार किए गए क्लाइंटहेलो संदेश भेजने वाले क्लाइंट के माध्यम से टीएलएस सर्वर क्रैश होना संभव है। समस्या सिग्नेचर_एल्गोरिदम एक्सटेंशन के कार्यान्वयन में NULL पॉइंटर डिरेफ़रेंस से संबंधित है। समस्या केवल उन सर्वरों पर होती है जो TLSv1.2 का समर्थन करते हैं और कनेक्शन पुनः बातचीत सक्षम करते हैं (डिफ़ॉल्ट रूप से सक्षम)।

स्रोत: opennet.ru