Megérkezett az OpenSSL 1.1.1k kriptográfiai könyvtár frissítése, amelyben két, magas kockázati szintű sebezhetőséget javítottak ki:
- CVE-2021-3450 — a tanúsítványkiadó ellenőrzésének megkerülése az X509_V_FLAG_X509_STRICT zászló bekapcsolásakor, amely alapértelmezés szerint ki van kapcsolva, és a tanúsítványok láncának további ellenőrzésére szolgál. A probléma a 1.1.1h verzióban megjelent új ellenőrzésből adódik, amely megtiltja olyan tanúsítványok láncának használatát, amelyekben egyértelműen kódolták az elliptikus görbe paramétereit.
A kódhibából adódóan az új ellenőrzés felülírta a korábban elvégzett tanúsítványkiadó-épség-ellenőrzésének eredményét. Ennek következtében az önhitelesített tanúsítvánnyal aláírt, a tanúsítványkiadóval láncolatlan tanúsítványokat teljes mértékben megbízhatónak kezelték. A sebezhetőség nem jelentkezik, ha a "purpose" paramétert beállítják, amely alapértelmezés szerint van beállítva a libssl (TLS-re alkalmazandó) kliens és szervertanúsítványok ellenőrzési eljárásaiban.
- CVE-2021-3449 — a TLS összeomlását okozó lehetőség egy ügyfél által különlegesen formázott ClientHello üzenet küldésével. A probléma egy NULL mutató dereferálásával kapcsolatos a signature_algorithms kiterjesztés megvalósításában. A probléma csak olyan környezetben jelentkezik, a szerver amely támogatja a TLSv1.2-t és engedélyezi a kapcsolatok újratárgyalását (amely alapértelmezés szerint bekapcsolva van). szervereken Megérkezett az OpenSSL 1.1.1k kriptográfiai könyvtár frissítése, amelyben két, magas kockázati szintű sebezhetőséget javítottak ki: CVE-2021-3450 - megkerülés lehetősége.
Forrás: opennet.ru
