ओपनएसएसएल 3.0.1 अपडेट भेद्यता को ठीक करता है

ओपनएसएसएल क्रिप्टोग्राफ़िक लाइब्रेरी 3.0.1 और 1.1.1m की सुधारात्मक रिलीज़ उपलब्ध हैं। संस्करण 3.0.1 ने भेद्यता को ठीक किया (सीवीई-2021-4044), और दोनों रिलीज में लगभग एक दर्जन बग ठीक किए गए।

एसएसएल/टीएलएस क्लाइंट के कार्यान्वयन में भेद्यता मौजूद है और यह इस तथ्य से संबंधित है कि libssl लाइब्रेरी X509_verify_cert() फ़ंक्शन द्वारा लौटाए गए नकारात्मक त्रुटि कोड को गलत तरीके से संभालती है, जिसे सर्वर द्वारा क्लाइंट को दिए गए प्रमाणपत्र को सत्यापित करने के लिए बुलाया जाता है। आंतरिक त्रुटियाँ होने पर नकारात्मक कोड लौटाए जाते हैं, उदाहरण के लिए, यदि बफ़र के लिए मेमोरी आवंटित नहीं की जा सकती। यदि ऐसी कोई त्रुटि लौटाई जाती है, तो SSL_connect() और SSL_do_handshake() जैसे I/O फ़ंक्शंस पर आने वाली कॉलें विफलता और एक SSL_ERROR_WANT_RETRY_VERIFY त्रुटि कोड लौटाएंगी, जिसे केवल तभी लौटाया जाना चाहिए जब एप्लिकेशन ने पहले SSL_CTX_set_cert_verify_callback() पर कॉल किया हो।

चूँकि अधिकांश एप्लिकेशन SSL_CTX_set_cert_verify_callback() को कॉल नहीं करते हैं, SSL_ERROR_WANT_RETRY_VERIFY त्रुटि की घटना का गलत अर्थ निकाला जा सकता है और इसके परिणामस्वरूप क्रैश, लूप या अन्य गलत प्रतिक्रिया हो सकती है। समस्या OpenSSL 3.0 में एक अन्य बग के साथ संयोजन में सबसे खतरनाक है, जो "विषय वैकल्पिक नाम" एक्सटेंशन के बिना, लेकिन उपयोग प्रतिबंधों में नाम बाइंडिंग के साथ X509_verify_cert() में प्रमाणपत्र संसाधित करते समय एक आंतरिक त्रुटि का कारण बनता है। इस मामले में, हमले से प्रमाणपत्र प्रबंधन और टीएलएस सत्र स्थापना में एप्लिकेशन-विशिष्ट विसंगतियां हो सकती हैं।

स्रोत: opennet.ru