OpenSSL ക്രിപ്‌റ്റോഗ്രാഫിക് ലൈബ്രറി 3.0.1, 1.1.1m എന്നിവയുടെ തിരുത്തൽ പതിപ്പുകൾ ലഭ്യമാണ്. പതിപ്പ് 3.0.1 അപകടസാധ്യത പരിഹരിച്ചു (CVE-2021-4044), കൂടാതെ രണ്ട് റിലീസുകളിലും ഏകദേശം ഒരു ഡസനോളം ബഗുകൾ പരിഹരിച്ചു.
SSL/TLS ക്ലയന്റുകളുടെ നടത്തിപ്പിൽ ഈ അപകടസാധ്യത നിലനിൽക്കുന്നു, കൂടാതെ സെർവർ ക്ലയന്റിനു കൈമാറിയ സർട്ടിഫിക്കറ്റ് പരിശോധിക്കാൻ വിളിക്കപ്പെടുന്ന X509_verify_cert() ഫംഗ്‌ഷൻ നൽകുന്ന നെഗറ്റീവ് പിശക് കോഡുകൾ libssl ലൈബ്രറി തെറ്റായി കൈകാര്യം ചെയ്യുന്നു എന്ന വസ്തുതയുമായി ബന്ധപ്പെട്ടതാണ്. ആന്തരിക പിശകുകൾ സംഭവിക്കുമ്പോൾ നെഗറ്റീവ് കോഡുകൾ നൽകുന്നു, ഉദാഹരണത്തിന്, ബഫറിനായി മെമ്മറി അനുവദിക്കാൻ കഴിയുന്നില്ലെങ്കിൽ. അത്തരം ഒരു പിശക് തിരികെ ലഭിക്കുകയാണെങ്കിൽ, SSL_connect(), SSL_do_handshake() എന്നിവ പോലുള്ള I/O ഫംഗ്‌ഷനുകളിലേക്കുള്ള തുടർന്നുള്ള കോളുകൾ പരാജയവും ഒരു SSL_ERROR_WANT_RETRY_VERIFY പിശക് കോഡും നൽകും, ആപ്ലിക്കേഷൻ മുമ്പ് SSL_CTX_set_cert_verify_cert_ ലേക്ക് ഒരു കോൾ ചെയ്‌തിട്ടുണ്ടെങ്കിൽ മാത്രമേ അത് നൽകൂ.
മിക്ക ആപ്ലിക്കേഷനുകളും SSL_CTX_set_cert_verify_callback() എന്ന് വിളിക്കാത്തതിനാൽ, ഒരു SSL_ERROR_WANT_RETRY_VERIFY പിശക് സംഭവിക്കുന്നത് തെറ്റായി വ്യാഖ്യാനിക്കപ്പെടുകയും ക്രാഷ്, ലൂപ്പ് അല്ലെങ്കിൽ മറ്റ് തെറ്റായ പ്രതികരണത്തിന് കാരണമാവുകയും ചെയ്യും. ഓപ്പൺഎസ്എസ്എൽ 3.0-ലെ മറ്റൊരു ബഗുമായി സംയോജിപ്പിച്ച് പ്രശ്നം ഏറ്റവും അപകടകരമാണ്, ഇത് X509_verify_cert() ലെ "സബ്ജക്റ്റ് ഇതര നാമം" വിപുലീകരണമില്ലാതെ, എന്നാൽ ഉപയോഗ നിയന്ത്രണങ്ങളിൽ പേര് ബൈൻഡിംഗുകളോടെയുള്ള സർട്ടിഫിക്കറ്റുകൾ പ്രോസസ്സ് ചെയ്യുമ്പോൾ ആന്തരിക പിശകിന് കാരണമാകുന്നു. ഈ സാഹചര്യത്തിൽ, ആക്രമണം സർട്ടിഫിക്കറ്റ് കൈകാര്യം ചെയ്യലിലും TLS സെഷൻ സ്ഥാപനത്തിലും ആപ്ലിക്കേഷൻ-നിർദ്ദിഷ്ട അപാകതകളിലേക്ക് നയിച്ചേക്കാം.
അവലംബം: opennet.ru