Sustentationem emissiones bibliothecae cryptographicae OpenSSL 3.0.1 et 1.1.1m in promptu sunt. Versione 3.0.1 vulnerabilitatem (CVE-2021-4044) figit, et circiter duodecim cimices in utroque emissione fixi sunt.
Vulnerabilitas in exsequenda clientium SSL/TLS existit et ob hoc accidit quod bibliotheca libraria male tractat errorem negativum codicibus a X509_verify_cert() functione redditum, vocatum ad comprobandum libellum clienti a servo traditum. Codices negativi redditi sunt cum errores interni occurrunt, exempli gratia, si impossibile est ad quiddam memoriae collocare. Si talis error redditur, subsequenter vocat ad I/O functiones sicut SSL_connect() et SSL_do_handshake() defectum reddet et codicem errorum SSL_ERROR_WANT_RETRY_VERIFY, quod tantum reddi debet si applicatio ante vocationem ad SSL_CTX_set_cert_verify_callback() reddet. .
Quia maxime applicationes non vocant SSL_CTX_set_cert_verify_callback(), eventum erroris SSL_ERROR_WANT_RETRY_VERIFICO errori interpretari potest et evenire in ruina, ansa, vel aliis moribus vitiosis. Problema periculosissimum est in compositione cum alio bug in OpenSSL 3.0, quod error internus causat cum X509_verify_cert() libellorum processus sine extensione "Subject Alternative", sed cum nominibus ligaturae in usu restrictionis. In hoc casu, impetus in anomaliis application-dependentibus provenire potuit in processui certificamenti et TLS constitutionis sessionis.
Source: opennet.ru