ការអាប់ដេត OpenSSL 1.1.1k ជាមួយនឹងការជួសជុលភាពងាយរងគ្រោះគ្រោះថ្នាក់ពីរ

ការចេញផ្សាយការថែទាំនៃបណ្ណាល័យគ្រីប OpenSSL 1.1.1k គឺអាចរកបាន ដែលជួសជុលភាពងាយរងគ្រោះពីរដែលត្រូវបានផ្តល់កម្រិតភាពធ្ងន់ធ្ងរខ្ពស់៖

• CVE-2021-3450 - វាអាចទៅរួចក្នុងការឆ្លងកាត់ការផ្ទៀងផ្ទាត់វិញ្ញាបនបត្រអាជ្ញាធរវិញ្ញាបនបត្រ នៅពេលដែលទង់ X509_V_FLAG_X509_STRICT ត្រូវបានបើក ដែលត្រូវបានបិទតាមលំនាំដើម និងត្រូវបានប្រើដើម្បីពិនិត្យបន្ថែមអំពីវត្តមាននៃវិញ្ញាបនបត្រនៅក្នុងខ្សែសង្វាក់។ បញ្ហាត្រូវបានណែនាំនៅក្នុងការអនុវត្តរបស់ OpenSSL 1.1.1h លើការត្រួតពិនិត្យថ្មីដែលហាមឃាត់ការប្រើប្រាស់វិញ្ញាបនបត្រនៅក្នុងខ្សែសង្វាក់ដែលអ៊ិនកូដយ៉ាងច្បាស់នូវប៉ារ៉ាម៉ែត្រខ្សែកោងរាងអេលីប។

  ដោយសារតែមានកំហុសនៅក្នុងលេខកូដ ការត្រួតពិនិត្យថ្មីបានបដិសេធលទ្ធផលនៃការត្រួតពិនិត្យដែលបានអនុវត្តពីមុនសម្រាប់ភាពត្រឹមត្រូវនៃវិញ្ញាបនបត្រអាជ្ញាធរបញ្ជាក់។ ជាលទ្ធផល វិញ្ញាបនបត្រដែលបញ្ជាក់ដោយវិញ្ញាបនបត្រដែលចុះហត្ថលេខាដោយខ្លួនឯង ដែលមិនត្រូវបានភ្ជាប់ដោយខ្សែសង្វាក់នៃការជឿទុកចិត្តទៅអាជ្ញាធរបញ្ជាក់ត្រូវបានចាត់ទុកថាគួរឱ្យទុកចិត្តទាំងស្រុង។ ភាពងាយរងគ្រោះមិនលេចឡើងទេ ប្រសិនបើប៉ារ៉ាម៉ែត្រ "គោលបំណង" ត្រូវបានកំណត់ ដែលត្រូវបានកំណត់ដោយលំនាំដើមនៅក្នុងដំណើរការផ្ទៀងផ្ទាត់វិញ្ញាបនបត្រម៉ាស៊ីនភ្ញៀវ និងម៉ាស៊ីនមេនៅក្នុង libssl (ប្រើសម្រាប់ TLS)។

• CVE-2021-3449 - វាអាចបណ្តាលឱ្យម៉ាស៊ីនមេ TLS គាំងតាមរយៈម៉ាស៊ីនភ្ញៀវដែលផ្ញើសារ ClientHello ដែលបង្កើតជាពិសេស។ បញ្ហាគឺទាក់ទងនឹងការបដិសេធទ្រនិច NULL ក្នុងការអនុវត្តផ្នែកបន្ថែម signature_algorithms ។ បញ្ហាកើតឡើងតែលើម៉ាស៊ីនមេដែលគាំទ្រ TLSv1.2 និងបើកការចរចាការតភ្ជាប់ឡើងវិញ (បានបើកតាមលំនាំដើម)។

ប្រភព: opennet.ru