Ënnerhalt Verëffentlechungen vun der OpenSSL Kryptografesch Bibliothéik 3.0.1 an 1.1.1m sinn verfügbar. Versioun 3.0.1 fixéiert d'Schwachheet (CVE-2021-4044), an ongeféier eng Dose Bugs sinn a béide Verëffentlechungen fixéiert.
D'Schwachheet existéiert an der Ëmsetzung vun SSL / TLS Clienten an ass wéinst der Tatsaach datt d'libssl Bibliothéik falsch negativ Fehlercode Wäerter behandelt, déi vun der X509_verify_cert() Funktioun zréckginn, genannt fir den Zertifika ze verifizéieren deen vum Server un de Client iwwerginn ass. Negativ Coden ginn zréck wann intern Feeler optrieden, Zum Beispill, wann et onméiglech ass Erënnerung fir e Puffer ze allocéieren. Wann esou e Feeler zréckgeet, ginn spéider Uruff un I/O Funktiounen wéi SSL_connect () an SSL_do_handshake () e Feeler zréck an de Fehlercode SSL_ERROR_WANT_RETRY_VERIFY, deen nëmmen zréckginn soll wann d'Applikatioun virdrun en Uruff un SSL_CTX_set_cert_verify_callback () .
Well déi meescht Uwendungen net SSL_CTX_set_cert_verify_callback () nennen, kann d'Optriede vun engem SSL_ERROR_WANT_RETRY_VERIFY Feeler falsch interpretéiert ginn an zu engem Crash, Loop oder aner falsch Verhalen resultéieren. De Problem ass geféierlechst a Kombinatioun mat engem anere Feeler am OpenSSL 3.0, wat zu engem internen Feeler féiert wann X509_verify_cert () Zertifikater veraarbecht ouni d'Erweiderung "Subject Alternative Name", awer mat Nummverbindungen an Benotzungsbeschränkungen. An dësem Fall kéint d'Attack zu Applikatioun-ofhängeg Anomalien an der Zertifikaveraarbechtung an der TLS Sessioun Etablissement resultéieren.
Source: opennet.ru