ការធ្វើបច្ចុប្បន្នភាព OpenSSL 1.1.1l ជាមួយនឹងការជួសជុលភាពងាយរងគ្រោះចំនួនពីរ

ការចេញផ្សាយការកែតម្រូវនៃបណ្ណាល័យគ្រីប OpenSSL 1.1.1l អាចរកបានជាមួយនឹងការលុបបំបាត់ភាពងាយរងគ្រោះចំនួនពីរ៖

• CVE-2021-3711 គឺជាការលើសចំណុះនៃសតិបណ្ដោះអាសន្ននៅក្នុងកូដដែលអនុវត្តក្បួនដោះស្រាយការគ្រីប SM2 (ជាទូទៅនៅក្នុងប្រទេសចិន) ដែលអនុញ្ញាតឱ្យសរសេរជាន់លើរហូតដល់ 62 បៃនៅក្នុងតំបន់ដែលហួសពីព្រំដែនសតិបណ្ដោះអាសន្ន ដោយសារកំហុសក្នុងការគណនាទំហំផ្ទុកទិន្នន័យ។ អ្នកវាយប្រហារអាចសម្រេចបាននូវការប្រតិបត្តិកូដ ឬការគាំងកម្មវិធីដោយបញ្ជូនទិន្នន័យការឌិកូដដែលបានបង្កើតជាពិសេសទៅកាន់កម្មវិធីដែលប្រើមុខងារ EVP_PKEY_decrypt() ដើម្បីឌិគ្រីបទិន្នន័យ SM2 ។
• CVE-2021-3712 គឺជាការលើសចំណុះនៅក្នុងកូដដំណើរការខ្សែ ASN.1 ដែលអាចបណ្តាលឱ្យកម្មវិធីគាំង ឬបង្ហាញខ្លឹមសារនៃអង្គចងចាំដំណើរការ (ឧទាហរណ៍ ដើម្បីកំណត់អត្តសញ្ញាណសោដែលរក្សាទុកក្នុងអង្គចងចាំ) ប្រសិនបើអ្នកវាយប្រហារអាចបង្កើតបាន ខ្សែអក្សរនៅក្នុងរចនាសម្ព័ន្ធ ASN1_STRING ខាងក្នុង។ មិនត្រូវបានបញ្ចប់ដោយតួអក្សរទទេ ហើយដំណើរការវានៅក្នុងមុខងារ OpenSSL ដែលបោះពុម្ពវិញ្ញាបនបត្រដូចជា X509_aux_print(), X509_get1_email(), X509_REQ_get1_email() និង X509_get1_ocsp()។

ក្នុងពេលជាមួយគ្នានោះ កំណែថ្មីនៃបណ្ណាល័យ LibreSSL 3.3.4 និង 3.2.6 ត្រូវបានចេញផ្សាយ ដែលមិនបានបញ្ជាក់ច្បាស់លាស់អំពីភាពងាយរងគ្រោះ ប៉ុន្តែការវិនិច្ឆ័យដោយបញ្ជីនៃការផ្លាស់ប្តូរ ភាពងាយរងគ្រោះ CVE-2021-3712 ត្រូវបានលុបចោល។

ប្រភព: opennet.ru