ការគាំងនៅក្នុង OpenBSD, DragonFly BSD និង Electron ដោយសារតែវិញ្ញាបនបត្រឫសគល់ IdenTrust ផុតកំណត់

ការបដិសេធនៃវិញ្ញាបនបត្រឫសគល់ IdenTrust (DST Root CA X3) ដែលប្រើដើម្បីចុះហត្ថលេខាលើវិញ្ញាបនបត្រ Let's Encrypt CA បានបណ្តាលឱ្យមានបញ្ហាជាមួយនឹងការផ្ទៀងផ្ទាត់វិញ្ញាបនបត្រ Let's Encrypt នៅក្នុងគម្រោងដោយប្រើកំណែចាស់របស់ OpenSSL និង GnuTLS ។ បញ្ហាក៏ប៉ះពាល់ដល់បណ្ណាល័យ LibreSSL ផងដែរ ដែលអ្នកអភិវឌ្ឍន៍មិនបានគិតពីបទពិសោធន៍កន្លងមកដែលទាក់ទងនឹងការបរាជ័យដែលកើតឡើងបន្ទាប់ពីវិញ្ញាបនបត្រឫស AddTrust របស់ Sectigo (Comodo) CA លែងប្រើហើយ។

អនុញ្ញាតឱ្យយើងចាំថានៅក្នុងការចេញផ្សាយ OpenSSL រហូតដល់សាខា 1.0.2 រួមបញ្ចូល ហើយនៅក្នុង GnuTLS មុនពេលចេញផ្សាយ 3.6.14 មានកំហុសដែលមិនអនុញ្ញាតឱ្យដំណើរការវិញ្ញាបនបត្រដែលមានហត្ថលេខាឆ្លងកាត់ត្រឹមត្រូវ ប្រសិនបើវិញ្ញាបនបត្រឫសគល់មួយក្នុងចំណោមវិញ្ញាបនបត្រដែលប្រើសម្រាប់ការចុះហត្ថលេខាហួសសម័យ។ ទោះបីជាមានសុពលភាពផ្សេងទៀតត្រូវបានរក្សាទុកជាខ្សែសង្វាក់នៃការជឿទុកចិត្ត (ក្នុងករណី Let's Encrypt ភាពយឺតយ៉ាវនៃវិញ្ញាបនបត្រឫសគល់ IdenTrust រារាំងការផ្ទៀងផ្ទាត់ ទោះបីជាប្រព័ន្ធមានការគាំទ្រសម្រាប់វិញ្ញាបនបត្រឫសគល់របស់ Let's Encrypt ដែលមានសុពលភាពរហូតដល់ឆ្នាំ 2030)។ ចំណុចសំខាន់នៃកំហុសគឺថាកំណែចាស់របស់ OpenSSL និង GnuTLS បានញែកវិញ្ញាបនបត្រជាខ្សែសង្វាក់លីនេអ៊ែរ ខណៈពេលដែលយោងទៅតាម RFC 4158 វិញ្ញាបនបត្រអាចតំណាងឱ្យក្រាហ្វរង្វង់ដែលបានចែកចាយដោយដឹកនាំជាមួយនឹងយុថ្កាទុកចិត្តជាច្រើនដែលចាំបាច់ត្រូវយកមកពិចារណា។

ជាដំណោះស្រាយដើម្បីដោះស្រាយការបរាជ័យ វាត្រូវបានស្នើឱ្យលុបវិញ្ញាបនបត្រ “DST Root CA X3” ចេញពីការផ្ទុកប្រព័ន្ធ (/etc/ca-certificates.conf និង /etc/ssl/certs) ហើយបន្ទាប់មកដំណើរការពាក្យបញ្ជា “update -ca-certificates -f -v" ") ។ នៅលើ CentOS និង RHEL អ្នកអាចបន្ថែមវិញ្ញាបនបត្រ “DST Root CA X3” ទៅក្នុងបញ្ជីខ្មៅ៖ trust dump —filter “pkcs11:id=%c4%a7%b1%a4%7b%2c%71%fa%db%e1% 4b%90%75%ff%c4%15%60%85%89%10" | openssl x509 | sudo tee /etc/pki/ca-trust/source/blacklist/DST-Root-CA-X3.pem sudo update-ca-trust extract

ការគាំងមួយចំនួនដែលយើងបានឃើញដែលបានកើតឡើងបន្ទាប់ពីវិញ្ញាបនបត្រឫសគល់ IdenTrust ផុតកំណត់៖

• នៅក្នុង OpenBSD ឧបករណ៍ប្រើប្រាស់ syspatch ដែលប្រើដើម្បីដំឡើងបច្ចុប្បន្នភាពប្រព័ន្ធគោលពីរបានឈប់ដំណើរការ។ គម្រោង OpenBSD ថ្ងៃនេះបានចេញផ្សាយបំណះជាបន្ទាន់សម្រាប់សាខា 6.8 និង 6.9 ដែលដោះស្រាយបញ្ហានៅក្នុង LibreSSL ជាមួយនឹងការត្រួតពិនិត្យវិញ្ញាបនបត្រដែលមានហត្ថលេខាឆ្លងកាត់ ដែលជាវិញ្ញាបនបត្រឫសគល់មួយនៅក្នុងខ្សែសង្វាក់ទុកចិត្តដែលផុតកំណត់។ ជាដំណោះស្រាយសម្រាប់បញ្ហា វាត្រូវបានផ្ដល់អនុសាសន៍ឱ្យប្តូរពី HTTPS ទៅ HTTP ក្នុង /etc/installurl (វាមិនគំរាមកំហែងដល់សុវត្ថិភាពទេ ដោយសារការអាប់ដេតត្រូវបានផ្ទៀងផ្ទាត់បន្ថែមដោយហត្ថលេខាឌីជីថល) ឬជ្រើសរើសកញ្ចក់ជំនួស (ftp.usa.openbsd. org, ftp.hostserver.de, cdn.openbsd.org) ។ អ្នកក៏អាចដកវិញ្ញាបនបត្រឫសគល់ DST Root CA X3 ដែលផុតកំណត់ចេញពីឯកសារ /etc/ssl/cert.pem ផងដែរ។
• នៅក្នុង DragonFly BSD បញ្ហាស្រដៀងគ្នានេះត្រូវបានគេសង្កេតឃើញនៅពេលធ្វើការជាមួយ Dports ។ នៅពេលចាប់ផ្តើមកម្មវិធីគ្រប់គ្រងកញ្ចប់ pkg កំហុសផ្ទៀងផ្ទាត់វិញ្ញាបនបត្រលេចឡើង។ ការ​ជួសជុល​ត្រូវ​បាន​បន្ថែម​ថ្ងៃ​នេះ​ទៅ​ម្ចាស់​សាខា DragonFly_RELEASE_6_0 និង DragonFly_RELEASE_5_8 ។ ជាដំណោះស្រាយមួយ អ្នកអាចដកវិញ្ញាបនបត្រ DST Root CA X3 ចេញ។
• ដំណើរការនៃការពិនិត្យមើលវិញ្ញាបនបត្រ Let's Encrypt នៅក្នុងកម្មវិធីដែលមានមូលដ្ឋានលើ Electron platform ត្រូវបានខូច។ បញ្ហាត្រូវបានជួសជុលនៅក្នុងការអាប់ដេត 12.2.1, 13.5.1, 14.1.0, 15.1.0។
• ការចែកចាយខ្លះមានបញ្ហាក្នុងការចូលប្រើឃ្លាំងកញ្ចប់នៅពេលប្រើកម្មវិធីគ្រប់គ្រងកញ្ចប់ APT ដែលភ្ជាប់ជាមួយកំណែចាស់នៃបណ្ណាល័យ GnuTLS ។ Debian 9 ត្រូវបានរងផលប៉ះពាល់ដោយបញ្ហាដែលបានប្រើកញ្ចប់ GnuTLS ដែលមិនបានជួសជុល ដែលនាំឱ្យមានបញ្ហានៅពេលចូលប្រើ deb.debian.org សម្រាប់អ្នកប្រើប្រាស់ដែលមិនបានដំឡើងការអាប់ដេតទាន់ពេល (ការជួសជុល gnutls28-3.5.8-5+deb9u6 ត្រូវបានផ្តល់ជូន ថ្ងៃទី ១៧ ខែកញ្ញា) ។ ជាដំណោះស្រាយ វាត្រូវបានណែនាំឱ្យយក DST_Root_CA_X17.crt ចេញពីឯកសារ /etc/ca-certificates.conf ។
• ប្រតិបត្តិការរបស់ acme-client នៅក្នុងឧបករណ៍ចែកចាយសម្រាប់ការបង្កើតជញ្ជាំងភ្លើង OPNsense ត្រូវបានរំខាន បញ្ហាត្រូវបានរាយការណ៍ជាមុន ប៉ុន្តែអ្នកអភិវឌ្ឍន៍មិនបានគ្រប់គ្រងដើម្បីបញ្ចេញបំណះទាន់ពេលវេលាទេ។
• បញ្ហានេះប៉ះពាល់ដល់កញ្ចប់ OpenSSL 1.0.2k នៅក្នុង RHEL/CentOS 7 ប៉ុន្តែមួយសប្តាហ៍មុន ការធ្វើបច្ចុប្បន្នភាពទៅកញ្ចប់ ca-certificates-7-7.el2021.2.50_72.noarch ត្រូវបានបង្កើតឡើងសម្រាប់ RHEL 7 និង CentOS 9 ដែល IdenTrust វិញ្ញាបនបត្រត្រូវបានដកចេញ, i.e. ការបង្ហាញនៃបញ្ហាត្រូវបានរារាំងជាមុន។ ការអាប់ដេតស្រដៀងគ្នានេះត្រូវបានបោះពុម្ពកាលពីមួយសប្តាហ៍មុនសម្រាប់ Ubuntu 16.04, Ubuntu 14.04, Ubuntu 21.04, Ubuntu 20.04 និង Ubuntu 18.04 ។ ចាប់តាំងពីការអាប់ដេតត្រូវបានចេញផ្សាយជាមុន បញ្ហាក្នុងការត្រួតពិនិត្យ Let's Encrypt certificates ប៉ះពាល់តែអ្នកប្រើប្រាស់សាខាចាស់របស់ RHEL/CentOS និង Ubuntu ដែលមិនបានដំឡើងការអាប់ដេតជាប្រចាំ។
• ដំណើរការផ្ទៀងផ្ទាត់វិញ្ញាបនបត្រនៅក្នុង grpc ត្រូវបានខូច។
• ការបង្កើតវេទិកា Cloudflare Pages បានបរាជ័យ។
• បញ្ហានៅក្នុង Amazon Web Services (AWS) ។
• អ្នកប្រើប្រាស់ DigitalOcean មានបញ្ហាក្នុងការតភ្ជាប់ទៅមូលដ្ឋានទិន្នន័យ។
• វេទិកាពពក Netlify បានគាំង។
• បញ្ហាក្នុងការចូលប្រើសេវាកម្ម Xero ។
• ការប៉ុនប៉ងបង្កើតការតភ្ជាប់ TLS ទៅ Web API នៃសេវាកម្ម MailGun បានបរាជ័យ។
• ការគាំងនៅក្នុងកំណែរបស់ macOS និង iOS (11, 13, 14) ដែលតាមទ្រឹស្តីមិនគួរត្រូវបានប៉ះពាល់ដោយបញ្ហានោះទេ។
• សេវាកម្ម Catchpoint បានបរាជ័យ។
• កំហុសក្នុងការផ្ទៀងផ្ទាត់វិញ្ញាបនបត្រនៅពេលចូលប្រើ PostMan API។
• Guardian Firewall បានគាំង។
• ទំព័រជំនួយ monday.com ត្រូវបានខូច។
• វេទិកា Cerb បានគាំង។
• ការត្រួតពិនិត្យម៉ោងធ្វើការបានបរាជ័យក្នុង Google Cloud Monitoring។
• បញ្ហាជាមួយនឹងការផ្ទៀងផ្ទាត់វិញ្ញាបនបត្រនៅក្នុង Cisco Umbrella Secure Web Gateway ។
• បញ្ហាក្នុងការតភ្ជាប់ទៅប្រូកស៊ី Bluecoat និង Palo Alto ។
• OVHcloud កំពុងមានបញ្ហាក្នុងការតភ្ជាប់ទៅ OpenStack API។
• បញ្ហាជាមួយការបង្កើតរបាយការណ៍នៅក្នុង Shopify ។
• មានបញ្ហាក្នុងការចូលប្រើ Heroku API។
• Ledger Live Manager គាំង។
• កំហុសក្នុងការផ្ទៀងផ្ទាត់វិញ្ញាបនបត្រនៅក្នុងឧបករណ៍អ្នកអភិវឌ្ឍន៍កម្មវិធី Facebook ។
• បញ្ហានៅក្នុង Sophos SG UTM ។
• បញ្ហាជាមួយនឹងការផ្ទៀងផ្ទាត់វិញ្ញាបនបត្រនៅក្នុង cPanel ។

ប្រភព: opennet.ru