Daxuyaniyên rastkirî yên pirtûkxaneya krîptografî ya OpenSSL 3.0.1 û 1.1.1m hene. Guhertoya 3.0.1 qelsî rast kir (CVE-2021-4044), û bi dehan xeletî di her du berdanan de hatin rast kirin.
Zelalbûn di pêkanîna xerîdarên SSL/TLS de heye û bi vê yekê ve girêdayî ye ku pirtûkxaneya libssl bi xeletî kodên xeletiya neyînî yên ku ji hêla fonksiyona X509_verify_cert() ve hatine vegerandin, vedigire, ku tê gotin ku sertîfîkaya ku ji hêla serverê ve ji xerîdar re hatî şandin verast bike. Kodên neyînî têne vegerandin dema ku xeletiyên hundurîn çêdibin, mînakî, heke bîranîn ji bo tamponê neyê veqetandin. Ger xeletiyek weha were vegerandin, bangên paşîn ên fonksiyonên I/O yên wekî SSL_connect() û SSL_do_handshake() dê têkçûn û kodek xeletiyek SSL_ERROR_WANT_RETRY_VERIFY vegere, ku tenê divê were vegerandin heke serîlêdanê berê bangek ji SSL_CTX_set_callback_verify_re kiribe.
Ji ber ku pir sepanan bangî SSL_CTX_set_cert_verify_callback() nakin, çêbûna xeletiyek SSL_ERROR_WANT_RETRY_VERIFY dikare xelet were şîrove kirin û bibe sedema têkçûnek, lêdan, an bersivek din a nerast. Pirsgirêka herî xeternak e digel xeletiyek din di OpenSSL 3.0 de, ku dema ku sertîfîkayên di X509_verify_cert() de bêyî pêveka "Navê Alternatîf"ê, lê bi girêdanên navan di qedexeyên karanîna de, dibe sedema xeletiyek hundurîn. Di vê rewşê de, êrîş dikare di birêvebirina sertîfîkayê û damezrandina danişîna TLS de bibe sedema anomalî-taybet-serîlêdanê.
Source: opennet.ru