{"id":102627,"date":"2021-12-15T21:36:51","date_gmt":"2021-12-15T19:36:51","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/obnovlenie-openssl-3-0-1-s-ustraneniem-uyazvimosti"},"modified":"2021-12-15T21:36:51","modified_gmt":"2021-12-15T19:36:51","slug":"obnovlenie-openssl-3-0-1-s-ustraneniem-uyazvimosti","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/obnovlenie-openssl-3-0-1-s-ustraneniem-uyazvimosti","title":{"rendered":"Aggiornamento di OpenSSL 3.0.1 con correzione di vulnerabilit\u00e0","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Sono disponibili aggiornamenti correttivi per la libreria crittografica OpenSSL 3.0.1 e 1.1.1m. Nella versione 3.0.1 \u00e8 stata risolta una vulnerabilit\u00e0 (CVE-2021-4044) e in entrambe le versioni sono stati corretti circa una decina di errori. <\/p>\n
La vulnerabilit\u00e0 \u00e8 presente nell\u2019implementazione dei client SSL\/TLS ed \u00e8 legata al fatto che la libreria libssl gestisce in modo errato i valori negativi dei codici di errore restituiti dalla funzione X509_verify_cert(), chiamata per verificare il certificato inviato al client dal server. I codici negativi vengono restituiti in caso di errori interni, ad esempio se non \u00e8 possibile allocare memoria per un buffer. Se viene restituito un errore simile, la successiva chiamata a funzioni di input\/output, come SSL_connect() e SSL_do_handshake(), porter\u00e0 a un esito non riuscito e al codice di errore SSL_ERROR_WANT_RETRY_VERIFY, che dovrebbe essere restituito solo se l\u2019applicazione ha precedentemente chiamato SSL_CTX_set_cert_verify_callback(). <\/p>\n
Poich\u00e9 la maggior parte delle applicazioni non chiama SSL_CTX_set_cert_verify_callback(), la comparsa dell'errore SSL_ERROR_WANT_RETRY_VERIFY potrebbe essere interpretata erroneamente, portando a crash, loop o altre reazioni errate. Il problema rappresenta il maggior pericolo in combinazione con un altro errore in OpenSSL 3.0, che causa un errore interno durante l'elaborazione di certificati senza l'estensione \u00abSubject Alternative Name\u00bb, ma con vincoli di utilizzo legati ai nomi. In questo caso, un attacco potrebbe portare ad anomalie nella gestione dei certificati e nell'instaurazione delle sessioni TLS, dipendenti dalle applicazioni. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"