दो कमजोरियों के समाधान के साथ ओपनएसएसएल 1.1.1एल अपडेट

ओपनएसएसएल क्रिप्टोग्राफ़िक लाइब्रेरी 1.1.1l की सुधारात्मक रिलीज़ दो कमजोरियों के उन्मूलन के साथ उपलब्ध है:

• CVE-2021-3711 SM2 क्रिप्टोग्राफ़िक एल्गोरिदम (चीन में आम) को लागू करने वाले कोड में एक बफर ओवरफ्लो है, जो बफर आकार की गणना में त्रुटि के कारण बफर सीमा से परे एक क्षेत्र में 62 बाइट्स को ओवरराइट करने की अनुमति देता है। एक हमलावर संभावित रूप से SM2 डेटा को डिक्रिप्ट करने के लिए EVP_PKEY_decrypt() फ़ंक्शन का उपयोग करने वाले अनुप्रयोगों में विशेष रूप से तैयार किए गए डिकोडिंग डेटा को पास करके कोड निष्पादन या एप्लिकेशन क्रैश प्राप्त कर सकता है।
• CVE-2021-3712 ASN.1 स्ट्रिंग प्रोसेसिंग कोड में एक बफर ओवरफ्लो है, जो एप्लिकेशन क्रैश का कारण बन सकता है या प्रोसेस मेमोरी की सामग्री को प्रकट कर सकता है (उदाहरण के लिए, मेमोरी में संग्रहीत कुंजियों की पहचान करने के लिए) यदि हमलावर किसी तरह उत्पन्न करने में सक्षम है आंतरिक ASN1_STRING संरचना में एक स्ट्रिंग। किसी शून्य वर्ण द्वारा समाप्त नहीं किया जाता है, और इसे OpenSSL फ़ंक्शंस में संसाधित किया जाता है जो प्रमाणपत्र प्रिंट करते हैं, जैसे X509_aux_print(), X509_get1_email(), X509_REQ_get1_email() और X509_get1_ocsp()।

उसी समय, लिब्रेएसएसएल लाइब्रेरी 3.3.4 और 3.2.6 के नए संस्करण जारी किए गए, जिनमें स्पष्ट रूप से कमजोरियों का उल्लेख नहीं है, लेकिन परिवर्तनों की सूची को देखते हुए, सीवीई-2021-3712 भेद्यता को समाप्त कर दिया गया है।

स्रोत: opennet.ru