TLS 1.1.1 അപകടസാധ്യത പരിഹരിക്കുന്നതിനൊപ്പം OpenSSL 1.3g പ്രസിദ്ധീകരിച്ചു

ലഭ്യമാണ് ക്രിപ്‌റ്റോഗ്രാഫിക് ലൈബ്രറിയുടെ തിരുത്തൽ പ്രകാശനം OpenSSL 1.1.1g, അതിൽ അത് ഇല്ലാതാക്കുന്നു ദുർബലത (CVE-2020-1967), ആക്രമണകാരി നിയന്ത്രിത സെർവറുമായോ ക്ലയൻ്റുമായോ ഒരു TLS 1.3 കണക്ഷൻ ചർച്ച ചെയ്യാൻ ശ്രമിക്കുമ്പോൾ സേവനം നിഷേധിക്കുന്നതിലേക്ക് നയിക്കുന്നു. അപകടസാധ്യത ഉയർന്ന തീവ്രതയായി കണക്കാക്കുന്നു.

SSL_check_chain() ഫംഗ്‌ഷൻ ഉപയോഗിക്കുന്ന അപ്ലിക്കേഷനുകളിൽ മാത്രമേ പ്രശ്‌നം ദൃശ്യമാകൂ, കൂടാതെ TLS വിപുലീകരണം “signature_algorithms_cert” തെറ്റായി ഉപയോഗിച്ചാൽ പ്രോസസ്സ് ക്രാഷുചെയ്യുന്നതിന് കാരണമാകുന്നു. പ്രത്യേകിച്ചും, ഡിജിറ്റൽ സിഗ്നേച്ചർ പ്രോസസ്സിംഗ് അൽഗോരിതത്തിന് പിന്തുണയില്ലാത്തതോ തെറ്റായതോ ആയ ഒരു മൂല്യം കണക്ഷൻ നെഗോഷ്യേഷൻ പ്രോസസിന് ലഭിക്കുകയാണെങ്കിൽ, ഒരു NULL പോയിൻ്റർ ഡിറഫറൻസ് സംഭവിക്കുകയും പ്രോസസ്സ് ക്രാഷാകുകയും ചെയ്യുന്നു. ഓപ്പൺഎസ്എസ്എൽ 1.1.1ഡി പുറത്തിറങ്ങിയതുമുതൽ പ്രശ്നം ദൃശ്യമാകുന്നു.

അവലംബം: opennet.ru