ភាពងាយរងគ្រោះនៅក្នុង OpenSSL 3.0.4 នាំឱ្យខូចអង្គចងចាំដំណើរការពីចម្ងាយ

ភាពងាយរងគ្រោះត្រូវបានគេកំណត់អត្តសញ្ញាណនៅក្នុងបណ្ណាល័យគ្រីប OpenSSL (CVE មិនទាន់ត្រូវបានកំណត់) ដោយមានជំនួយពីអ្នកវាយប្រហារពីចម្ងាយអាចបំផ្លាញមាតិកានៃអង្គចងចាំដំណើរការដោយការបញ្ជូនទិន្នន័យដែលបានរចនាជាពិសេសនៅពេលបង្កើតការតភ្ជាប់ TLS ។ វាមិនទាន់ច្បាស់ថាតើបញ្ហាអាចនាំទៅដល់ការប្រតិបត្តិកូដរបស់អ្នកវាយប្រហារ និងការលេចធ្លាយទិន្នន័យពីអង្គចងចាំដំណើរការ ឬថាតើវាត្រូវបានកំណត់ត្រឹមការគាំង។

ភាពងាយរងគ្រោះលេចឡើងនៅក្នុងការចេញផ្សាយ OpenSSL 3.0.4 ដែលបានចេញផ្សាយនៅថ្ងៃទី 21 ខែមិថុនា ហើយត្រូវបានបង្កឡើងដោយការជួសជុលមិនត្រឹមត្រូវសម្រាប់កំហុសនៅក្នុងកូដដែលអាចបណ្តាលឱ្យទិន្នន័យរហូតដល់ 8192 បៃត្រូវបានសរសេរជាន់លើ ឬអានលើសពីសតិបណ្ដោះអាសន្នដែលបានបម្រុងទុក។ ការកេងប្រវ័ញ្ចភាពងាយរងគ្រោះគឺអាចធ្វើទៅបានតែលើប្រព័ន្ធ x86_64 ដែលមានការគាំទ្រសម្រាប់ការណែនាំ AVX512 ប៉ុណ្ណោះ។

Forks នៃ OpenSSL ដូចជា BoringSSL និង LibreSSL ក៏ដូចជាសាខា OpenSSL 1.1.1 មិនត្រូវបានប៉ះពាល់ដោយបញ្ហានោះទេ។ ការ​ជួសជុល​បច្ចុប្បន្ន​មាន​តែ​ជា​បំណះ​ប៉ុណ្ណោះ។ នៅក្នុងសេណារីយ៉ូករណីដ៏អាក្រក់បំផុត បញ្ហាអាចមានគ្រោះថ្នាក់ជាងភាពងាយរងគ្រោះ Heartbleed ប៉ុន្តែកម្រិតនៃការគំរាមកំហែងត្រូវបានកាត់បន្ថយដោយការពិតដែលថាភាពងាយរងគ្រោះលេចឡើងតែនៅក្នុងកំណែ OpenSSL 3.0.4 ខណៈពេលដែលការចែកចាយជាច្រើនបន្តដឹកជញ្ជូន 1.1.1 សាខាតាមលំនាំដើម ឬមិនទាន់មានពេលវេលាដើម្បីបង្កើតការអាប់ដេតកញ្ចប់ជាមួយនឹងកំណែ 3.0.4។

ប្រភព: opennet.ru