עדכון OpenSSL 3.0.1 מתקן את הפגיעות

מהדורות מתקנות של ספריית ההצפנה OpenSSL 3.0.1 ו-1.1.1m זמינות. גרסה 3.0.1 תיקנה את הפגיעות (CVE-2021-4044), וכעשרה באגים תוקנו בשתי המהדורות.

הפגיעות קיימת בהטמעת לקוחות SSL/TLS וקשורה לעובדה שספריית libssl מטפלת באופן שגוי בקודי שגיאה שליליים המוחזרים על ידי הפונקציה X509_verify_cert() הנקראת לאימות האישור המועבר ללקוח על ידי השרת. קודים שליליים מוחזרים כאשר מתרחשות שגיאות פנימיות, למשל, אם לא ניתן להקצות זיכרון למאגר. אם שגיאה כזו מוחזרת, קריאות עוקבות לפונקציות I/O כגון SSL_connect() ו-SSL_do_handshake() יחזירו כשל וקוד שגיאה SSL_ERROR_WANT_RETRY_VERIFY, אותו יש להחזיר רק אם היישום ביצע בעבר קריאה ל-SSL_CTX_set_cert_verify_callback().

מכיוון שרוב היישומים אינם קוראים ל-SSL_CTX_set_cert_verify_callback(), התרחשות של שגיאת SSL_ERROR_WANT_RETRY_VERIFY עלולה להתפרש בצורה שגויה ולגרום לקריסה, לולאה או תגובה שגויה אחרת. הבעיה היא המסוכנת ביותר בשילוב עם באג אחר ב-OpenSSL 3.0, שגורם לשגיאה פנימית בעת עיבוד אישורים ב-X509_verify_cert() ללא סיומת "Subject Alternative Name", אך עם קבילות שמות בהגבלות שימוש. במקרה זה, ההתקפה עלולה להוביל לחריגות ספציפיות ליישום בטיפול בתעודות ובהקמת הפעלה של TLS.

מקור: OpenNet.ru