OpenSSL 1.1.1l अपडेट दोन भेद्यतेच्या निराकरणासह

OpenSSL क्रिप्टोग्राफिक लायब्ररी 1.1.1l चे सुधारात्मक प्रकाशन दोन भेद्यता दूर करून उपलब्ध आहे:

• CVE-2021-3711 हा SM2 क्रिप्टोग्राफिक अल्गोरिदम (चीनमध्ये सामान्य) लागू करणार्‍या कोडमधील बफर ओव्हरफ्लो आहे, जो बफर आकाराची गणना करताना त्रुटीमुळे बफर सीमेपलीकडे असलेल्या भागात 62 बाइट्सपर्यंत ओव्हरराईट करण्याची परवानगी देतो. आक्रमणकर्ता SM2 डेटा डिक्रिप्ट करण्यासाठी EVP_PKEY_decrypt() फंक्शन वापरणार्‍या ऍप्लिकेशन्सना खास तयार केलेला डीकोडिंग डेटा पास करून कोड एक्झिक्यूशन किंवा ऍप्लिकेशन क्रॅश करू शकतो.
• CVE-2021-3712 हा ASN.1 स्ट्रिंग प्रोसेसिंग कोडमधील बफर ओव्हरफ्लो आहे, ज्यामुळे अॅप्लिकेशन क्रॅश होऊ शकतो किंवा प्रोसेस मेमरीची सामग्री (उदाहरणार्थ, मेमरीमध्ये संग्रहित की ओळखण्यासाठी) जर आक्रमणकर्ता कसा तरी व्युत्पन्न करू शकतो. अंतर्गत ASN1_STRING संरचनेतील एक स्ट्रिंग. शून्य वर्णाने संपुष्टात येत नाही, आणि X509_aux_print(), X509_get1_email(), X509_REQ_get1_email() आणि X509_get1_ocsp() सारख्या प्रमाणपत्रे मुद्रित करणार्‍या OpenSSL फंक्शन्समध्ये त्यावर प्रक्रिया करा.

त्याच वेळी, LibreSSL लायब्ररी 3.3.4 आणि 3.2.6 च्या नवीन आवृत्त्या रिलीझ करण्यात आल्या, ज्यात असुरक्षिततेचा स्पष्ट उल्लेख नाही, परंतु बदलांच्या सूचीनुसार, CVE-2021-3712 भेद्यता दूर केली गेली आहे.

स्त्रोत: opennet.ru