ഓപ്പൺഎസ്എസ്എൽ 3.0.4 ലെ അപകടസാധ്യത റിമോട്ട് പ്രോസസ്സ് മെമ്മറി അഴിമതിയിലേക്ക് നയിക്കുന്നു

OpenSSL ക്രിപ്‌റ്റോഗ്രാഫിക് ലൈബ്രറിയിൽ (CVE ഇതുവരെ ചുമതലപ്പെടുത്തിയിട്ടില്ല) ഒരു അപകടസാധ്യത തിരിച്ചറിഞ്ഞിട്ടുണ്ട്, ഇതിന്റെ സഹായത്തോടെ ഒരു TLS കണക്ഷൻ സ്ഥാപിക്കുന്ന സമയത്ത് പ്രത്യേകം രൂപകൽപ്പന ചെയ്‌ത ഡാറ്റ അയച്ചുകൊണ്ട് ഒരു റിമോട്ട് ആക്രമണകാരിക്ക് പ്രോസസ്സ് മെമ്മറിയുടെ ഉള്ളടക്കത്തെ നശിപ്പിക്കാൻ കഴിയും. പ്രശ്‌നം അറ്റാക്കർ കോഡ് എക്‌സിക്യൂഷനിലേക്കും പ്രോസസ്സ് മെമ്മറിയിൽ നിന്നുള്ള ഡാറ്റ ചോർച്ചയിലേക്കും നയിക്കുമോ, അല്ലെങ്കിൽ ഇത് ഒരു ക്രാഷിൽ മാത്രമായി പരിമിതപ്പെടുത്തിയിട്ടുണ്ടോ എന്നത് ഇതുവരെ വ്യക്തമല്ല.

ജൂൺ 3.0.4-ന് പ്രസിദ്ധീകരിച്ച OpenSSL 21 പതിപ്പിൽ ഈ അപകടസാധ്യത ദൃശ്യമാകുന്നു, കൂടാതെ കോഡിലെ ഒരു ബഗിനുള്ള തെറ്റായ പരിഹാരം കാരണമാണ് ഇത് സംഭവിച്ചത്, ഇത് 8192 ബൈറ്റുകളുടെ ഡാറ്റ തിരുത്തിയെഴുതാനോ അനുവദിച്ച ബഫറിനപ്പുറം വായിക്കാനോ ഇടയാക്കും. AVX86 നിർദ്ദേശങ്ങൾക്കുള്ള പിന്തുണയുള്ള x64_512 സിസ്റ്റങ്ങളിൽ മാത്രമേ ദുർബലതയുടെ ചൂഷണം സാധ്യമാകൂ.

OpenSSL-ന്റെ ഫോർക്കുകളായ BoringSSL, LibreSSL, അതുപോലെ OpenSSL 1.1.1 ബ്രാഞ്ച് എന്നിവയെ പ്രശ്നം ബാധിക്കില്ല. പരിഹരിക്കൽ നിലവിൽ ഒരു പാച്ചായി മാത്രമേ ലഭ്യമാകൂ. ഏറ്റവും മോശം സാഹചര്യത്തിൽ, പ്രശ്നം ഹാർട്ട്‌ബ്ലീഡ് അപകടസാധ്യതയേക്കാൾ അപകടകരമാണ്, പക്ഷേ ഓപ്പൺഎസ്എസ്എൽ 3.0.4 പതിപ്പിൽ മാത്രമേ അപകടസാധ്യത ദൃശ്യമാകൂ എന്നതിനാൽ ഭീഷണി നില കുറയുന്നു, അതേസമയം പല വിതരണങ്ങളും 1.1.1 ഷിപ്പ് ചെയ്യുന്നത് തുടരുന്നു. ഡിഫോൾട്ടായി ബ്രാഞ്ച് അല്ലെങ്കിൽ പതിപ്പ് 3.0.4 ഉപയോഗിച്ച് പാക്കേജ് അപ്‌ഡേറ്റുകൾ നിർമ്മിക്കാൻ ഇതുവരെ സമയം ലഭിച്ചിട്ടില്ല.

അവലംബം: opennet.ru