ການຂັດຂ້ອງໃນ OpenBSD, DragonFly BSD ແລະ Electron ເນື່ອງຈາກໃບຮັບຮອງຮາກ IdenTrust ໝົດອາຍຸ

ການຍົກເລີກໃບຮັບຮອງ IdenTrust (DST Root CA X3), ທີ່ໃຊ້ເພື່ອເຊັນຊື່ໃບຮັບຮອງຮາກຂອງ Let's Encrypt CA, ໄດ້ເຮັດໃຫ້ເກີດບັນຫາກັບການກວດສອບໃບຮັບຮອງ Let's Encrypt ໃນໂຄງການທີ່ໃຊ້ OpenSSL ແລະ GnuTLS ເວີຊັນເກົ່າກວ່າ. ບັນຫາຍັງສົ່ງຜົນກະທົບຕໍ່ຫ້ອງສະຫມຸດ LibreSSL, ນັກພັດທະນາທີ່ບໍ່ໄດ້ຄໍານຶງເຖິງປະສົບການທີ່ຜ່ານມາທີ່ກ່ຽວຂ້ອງກັບຄວາມລົ້ມເຫລວທີ່ເກີດຂື້ນຫຼັງຈາກໃບຢັ້ງຢືນຮາກຂອງ Sectigo (Comodo) CA ຂອງ AddTrust ໄດ້ກາຍເປັນລ້າສະໄຫມ.

ໃຫ້ພວກເຮົາຈື່ວ່າໃນການປ່ອຍ OpenSSL ເຖິງສາຂາ 1.0.2 ລວມແລະໃນ GnuTLS ກ່ອນທີ່ຈະປ່ອຍ 3.6.14, ມີຂໍ້ບົກພ່ອງທີ່ບໍ່ອະນຸຍາດໃຫ້ດໍາເນີນການໃບຢັ້ງຢືນການເຊັນຂ້າມໄດ້ຢ່າງຖືກຕ້ອງຖ້າຫນຶ່ງໃນໃບຢັ້ງຢືນຮາກທີ່ໃຊ້ສໍາລັບການເຊັນຊື່ໄດ້ກາຍເປັນລ້າສະໄຫມ. , ເຖິງແມ່ນວ່າອັນທີ່ຖືກຕ້ອງອື່ນໆໄດ້ຖືກຮັກສາໄວ້ເປັນລະບົບຕ່ອງໂສ້ຄວາມໄວ້ວາງໃຈ (ໃນກໍລະນີຂອງ Let's Encrypt, ການລ້າສະໄຫມຂອງໃບຢັ້ງຢືນຮາກ IdenTrust ປ້ອງກັນການກວດສອບ, ເຖິງແມ່ນວ່າລະບົບມີການສະຫນັບສະຫນູນໃບຢັ້ງຢືນຮາກຂອງ Let's Encrypt, ສາມາດໃຊ້ໄດ້ເຖິງປີ 2030). ຈຸດສໍາຄັນຂອງຂໍ້ບົກພ່ອງແມ່ນວ່າ OpenSSL ແລະ GnuTLS ຮຸ່ນເກົ່າໄດ້ແຍກອອກໃບຢັ້ງຢືນເປັນລະບົບຕ່ອງໂສ້ເສັ້ນ, ໃນຂະນະທີ່ອີງຕາມ RFC 4158, ໃບຢັ້ງຢືນສາມາດເປັນຕົວແທນຂອງເສັ້ນວົງວຽນທີ່ແຈກຢາຍໂດຍກົງກັບສະມໍຄວາມໄວ້ວາງໃຈຫຼາຍທີ່ຕ້ອງໄດ້ຮັບການພິຈາລະນາ.

ເປັນການແກ້ໄຂຄວາມລົ້ມເຫຼວ, ມັນຖືກສະເຫນີໃຫ້ລຶບໃບຢັ້ງຢືນ "DST Root CA X3" ຈາກການເກັບຮັກສາລະບົບ (/etc/ca-certificates.conf ແລະ /etc/ssl/certs), ແລະຫຼັງຈາກນັ້ນດໍາເນີນການຄໍາສັ່ງ "ປັບປຸງ. -ca-certificates -f -v” “). ໃນ CentOS ແລະ RHEL, ທ່ານສາມາດເພີ່ມໃບຢັ້ງຢືນ “DST Root CA X3” ໃສ່ບັນຊີດໍາ: trust dump —filter “pkcs11:id=%c4%a7%b1%a4%7b%2c%71%fa%db%e1% 4b%90%75%ff%c4%15%60%85%89%10" | openssl x509 | sudo tee /etc/pki/ca-trust/source/blacklist/DST-Root-CA-X3.pem sudo update-ca-trust ສານສະກັດຈາກ

ການຂັດຂ້ອງບາງຢ່າງທີ່ພວກເຮົາໄດ້ເຫັນທີ່ເກີດຂຶ້ນຫຼັງຈາກໃບຢັ້ງຢືນຮາກ IdenTrust ໝົດອາຍຸ:

• ໃນ OpenBSD, syspatch utility, ທີ່ໃຊ້ໃນການຕິດຕັ້ງການປັບປຸງລະບົບ binary, ໄດ້ຢຸດເຮັດວຽກ. ໂຄງການ OpenBSD ໃນມື້ນີ້ໄດ້ປ່ອຍອອກມາຢ່າງຮີບດ່ວນສໍາລັບສາຂາ 6.8 ແລະ 6.9 ທີ່ແກ້ໄຂບັນຫາໃນ LibreSSL ດ້ວຍການກວດສອບໃບຢັ້ງຢືນທີ່ມີເຊັນຂ້າມ, ຫນຶ່ງໃນໃບຢັ້ງຢືນຮາກໃນລະບົບຕ່ອງໂສ້ຄວາມໄວ້ວາງໃຈທີ່ຫມົດອາຍຸ. ເປັນການແກ້ໄຂສໍາລັບບັນຫາ, ແນະນໍາໃຫ້ປ່ຽນຈາກ HTTPS ເປັນ HTTP ໃນ /etc/installurl (ອັນນີ້ບໍ່ໄດ້ຂົ່ມຂູ່ຄວາມປອດໄພ, ເນື່ອງຈາກວ່າການປັບປຸງໄດ້ຖືກຢືນຢັນເພີ່ມເຕີມໂດຍລາຍເຊັນດິຈິຕອນ) ຫຼືເລືອກບ່ອນແລກປ່ຽນຄວາມທາງເລືອກ (ftp.usa.openbsd. org, ftp.hostserver.de, cdn.openbsd.org). ນອກນັ້ນທ່ານຍັງສາມາດເອົາໃບຢັ້ງຢືນຮາກ DST Root CA X3 ທີ່ຫມົດອາຍຸອອກຈາກໄຟລ໌ /etc/ssl/cert.pem.
• ໃນ DragonFly BSD, ບັນຫາທີ່ຄ້າຍຄືກັນແມ່ນສັງເກດເຫັນໃນເວລາທີ່ເຮັດວຽກກັບ Dports. ເມື່ອເລີ່ມຕົ້ນຕົວຈັດການຊຸດ pkg, ຂໍ້ຜິດພາດໃນການກວດສອບໃບຢັ້ງຢືນຈະປາກົດຂຶ້ນ. ການ​ແກ້​ໄຂ​ໄດ້​ຖືກ​ເພີ່ມ​ເຂົ້າ​ໃນ​ມື້​ນີ້​ກັບ​ແມ່​ບົດ​, DragonFly_RELEASE_6_0 ແລະ DragonFly_RELEASE_5_8 ສາ​ຂາ​. ເປັນການແກ້ໄຂບັນຫາ, ທ່ານສາມາດເອົາໃບຢັ້ງຢືນ DST Root CA X3 ອອກໄດ້.
• ຂະບວນການກວດສອບໃບຮັບຮອງ Let's Encrypt ໃນແອັບພລິເຄຊັນທີ່ອີງໃສ່ເວທີ Electron ແມ່ນແຕກຫັກ. ບັນຫາໄດ້ຖືກແກ້ໄຂໃນການປັບປຸງ 12.2.1, 13.5.1, 14.1.0, 15.1.0.
• ການແຈກຢາຍບາງອັນມີບັນຫາໃນການເຂົ້າເຖິງບ່ອນເກັບຊຸດເມື່ອໃຊ້ຕົວຈັດການແພັກເກັດ APT ທີ່ກ່ຽວຂ້ອງກັບຫ້ອງສະໝຸດ GnuTLS ລຸ້ນເກົ່າ. Debian 9 ໄດ້ຮັບຜົນກະທົບຈາກບັນຫາ, ເຊິ່ງໄດ້ໃຊ້ແພັກເກັດ GnuTLS ທີ່ບໍ່ໄດ້ປັບປຸງ, ເຊິ່ງເຮັດໃຫ້ເກີດບັນຫາໃນເວລາທີ່ເຂົ້າເຖິງ deb.debian.org ສໍາລັບຜູ້ໃຊ້ທີ່ບໍ່ໄດ້ຕິດຕັ້ງການປັບປຸງໃຫ້ທັນເວລາ (ການແກ້ໄຂ gnutls28-3.5.8-5+deb9u6 ໄດ້ຖືກສະເຫນີ. ວັນທີ 17 ກັນຍາ). ເປັນການແກ້ໄຂບັນຫາ, ແນະນຳໃຫ້ເອົາ DST_Root_CA_X3.crt ອອກຈາກໄຟລ໌ /etc/ca-certificates.conf.
• ການດໍາເນີນງານຂອງ acme-client ໃນຊຸດການແຈກຢາຍສໍາລັບການສ້າງໄຟວໍ OPNsense ໄດ້ຖືກລົບກວນ; ບັນຫາໄດ້ຖືກລາຍງານລ່ວງຫນ້າ, ແຕ່ນັກພັດທະນາບໍ່ໄດ້ຈັດການອອກ patch ໃນເວລາ.
• ບັນຫາໄດ້ສົ່ງຜົນກະທົບຕໍ່ແພັກເກັດ OpenSSL 1.0.2k ໃນ RHEL/CentOS 7, ແຕ່ອາທິດກ່ອນການອັບເດດແພັກເກັດ ca-certificates-7-7.el2021.2.50_72.noarch ຖືກສ້າງຂຶ້ນສໍາລັບ RHEL 7 ແລະ CentOS 9, ຈາກນັ້ນ IdenTrust ໃບຢັ້ງຢືນຖືກໂຍກຍ້າຍ, i.e. ການສະແດງອອກຂອງບັນຫາໄດ້ຖືກສະກັດລ່ວງຫນ້າ. ການປັບປຸງທີ່ຄ້າຍຄືກັນໄດ້ຖືກຈັດພີມມາອາທິດກ່ອນຫນ້ານີ້ສໍາລັບ Ubuntu 16.04, Ubuntu 14.04, Ubuntu 21.04, Ubuntu 20.04 ແລະ Ubuntu 18.04. ນັບຕັ້ງແຕ່ການປັບປຸງໄດ້ຖືກປ່ອຍອອກມາລ່ວງຫນ້າ, ບັນຫາໃນການກວດສອບໃບຢັ້ງຢືນ Let's Encrypt ມີຜົນກະທົບພຽງແຕ່ຜູ້ໃຊ້ສາຂາເກົ່າຂອງ RHEL / CentOS ແລະ Ubuntu ທີ່ບໍ່ຕິດຕັ້ງການອັບເດດເປັນປະຈໍາ.
• ຂະບວນການຢັ້ງຢືນໃບຢັ້ງຢືນໃນ grpc ແມ່ນແຕກ.
• ການສ້າງເວທີ Cloudflare Pages ລົ້ມເຫລວ.
• ບັນຫາກັບ Amazon Web Services (AWS).
• ຜູ້ໃຊ້ DigitalOcean ມີບັນຫາໃນການເຊື່ອມຕໍ່ຖານຂໍ້ມູນ.
• ແພລດຟອມຄລາວຂອງ Netlify ໄດ້ຂັດຂ້ອງ.
• ບັນຫາໃນການເຂົ້າເຖິງການບໍລິການ Xero.
• ຄວາມພະຍາຍາມທີ່ຈະສ້າງການເຊື່ອມຕໍ່ TLS ກັບ Web API ຂອງບໍລິການ MailGun ລົ້ມເຫລວ.
• ການຂັດຂ້ອງໃນເວີຊັນຂອງ macOS ແລະ iOS (11, 13, 14), ເຊິ່ງທາງທິດສະດີບໍ່ຄວນໄດ້ຮັບຜົນກະທົບຈາກບັນຫາ.
• ບໍລິການ Catchpoint ລົ້ມເຫລວ.
• ຄວາມຜິດພາດໃນການກວດສອບໃບຢັ້ງຢືນເມື່ອເຂົ້າເຖິງ PostMan API.
• Guardian Firewall ໄດ້ຂັດຂ້ອງ.
• ຫນ້າສະຫນັບສະຫນູນ monday.com ຖືກທໍາລາຍ.
• ເວທີ Cerb ໄດ້ຂັດຂ້ອງ.
• ກວດສອບເວລາເຮັດວຽກບໍ່ສຳເລັດໃນ Google Cloud Monitoring.
• ບັນຫາການຢັ້ງຢືນໃບຢັ້ງຢືນໃນ Cisco Umbrella Secure Web Gateway.
• ບັນຫາການເຊື່ອມຕໍ່ກັບຕົວແທນ Bluecoat ແລະ Palo Alto.
• OVHcloud ມີບັນຫາໃນການເຊື່ອມຕໍ່ຫາ OpenStack API.
• ບັນຫາກັບການສ້າງບົດລາຍງານໃນ Shopify.
• ມີບັນຫາໃນການເຂົ້າເຖິງ Heroku API.
• Ledger Live Manager ຂັດຂ້ອງ.
• ຄວາມຜິດພາດໃນການກວດສອບໃບຢັ້ງຢືນໃນ Facebook App Developer Tools.
• ບັນຫາໃນ Sophos SG UTM.
• ມີບັນຫາກັບການຢັ້ງຢືນໃບຢັ້ງຢືນໃນ cPanel.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru