Version antretyen nan bibliyotèk kriptografik OpenSSL 3.0.1 ak 1.1.1m disponib. Vèsyon 3.0.1 ranje vilnerabilite a (CVE-2021-4044), ak apeprè yon douzèn pinèz yo fikse nan tou de degaje yo.
Vilnerabilite a egziste nan aplikasyon an nan kliyan SSL / TLS ak se akòz lefèt ke bibliyotèk libssl la mal okipe valè negatif kòd erè retounen nan fonksyon X509_verify_cert() la, ki rele verifye sètifika a te pase nan kliyan an pa sèvè a. Kòd negatif yo retounen lè erè entèn yo rive, pou egzanp, si li enposib asiyen memwa pou yon tanpon. Si yo retounen yon erè konsa, apèl ki vin apre nan fonksyon I/O tankou SSL_connect() ak SSL_do_handshake() ap retounen yon echèk ak kòd erè SSL_ERROR_WANT_RETRY_VERIFY, ki ta dwe retounen sèlman si aplikasyon an te deja fè yon apèl nan SSL_CTX_set_cert_verify_callback() .
Piske pifò aplikasyon yo pa rele SSL_CTX_set_cert_verify_callback(), ensidan an nan yon erè SSL_ERROR_WANT_RETRY_VERIFY ka mal entèprete epi lakòz yon aksidan, bouk, oswa lòt konpòtman ki pa kòrèk. Pwoblèm nan pi danjere nan konbinezon ak yon lòt ensèk nan OpenSSL 3.0, ki mennen nan yon erè entèn lè X509_verify_cert() trete sètifika san ekstansyon "Subject Alternative Name" la, men ak non obligatwa nan restriksyon itilizasyon. Nan ka sa a, atak la ka lakòz anomali ki depann de aplikasyon nan pwosesis sètifika ak etablisman sesyon TLS.
Sous: opennet.ru