ओपनएसएसएल 3.0.1 असुरक्षा निराकरणासह अद्यतन

OpenSSL क्रिप्टोग्राफिक लायब्ररी 3.0.1 आणि 1.1.1m चे देखभाल प्रकाशन उपलब्ध आहेत. आवृत्ती 3.0.1 असुरक्षा (CVE-2021-4044) निश्चित करते आणि दोन्ही प्रकाशनांमध्ये सुमारे डझनभर बग निश्चित केले आहेत.

SSL/TLS क्लायंटच्या अंमलबजावणीमध्ये भेद्यता अस्तित्वात आहे आणि libssl लायब्ररी चुकीच्या पद्धतीने X509_verify_cert() फंक्शनद्वारे परत आलेली नकारात्मक त्रुटी कोड मूल्ये हाताळते या वस्तुस्थितीमुळे आहे, सर्व्हरद्वारे क्लायंटला पास केलेल्या प्रमाणपत्राची पडताळणी करण्यासाठी कॉल केला जातो. जेव्हा अंतर्गत त्रुटी आढळतात तेव्हा नकारात्मक कोड परत केले जातात, उदाहरणार्थ, बफरसाठी मेमरी वाटप करणे अशक्य असल्यास. अशी एरर परत आल्यास, SSL_connect() आणि SSL_do_handshake() सारख्या I/O फंक्शन्सवर आलेले कॉल अयशस्वी होतील आणि एरर कोड SSL_ERROR_WANT_RETRY_VERIFY, जो अनुप्रयोगाने पूर्वी SSL_CTX_set_callverify() वर कॉल केला असेल तरच परत केला पाहिजे. .

बहुतेक अनुप्रयोग SSL_CTX_set_cert_verify_callback() कॉल करत नसल्यामुळे, SSL_ERROR_WANT_RETRY_VERIFY त्रुटीचा चुकीचा अर्थ लावला जाऊ शकतो आणि परिणामी क्रॅश, लूप किंवा इतर चुकीचे वर्तन होऊ शकते. OpenSSL 3.0 मधील दुसर्‍या बगच्या संयोगाने ही समस्या सर्वात धोकादायक आहे, ज्यामुळे X509_verify_cert() "विषय पर्यायी नाव" विस्ताराशिवाय प्रमाणपत्रांवर प्रक्रिया करते तेव्हा अंतर्गत त्रुटी येते, परंतु वापर प्रतिबंधांमध्ये नाव बंधनांसह. या प्रकरणात, हल्ल्याचा परिणाम प्रमाणपत्र प्रक्रिया आणि TLS सत्र स्थापनेत अनुप्रयोग-आधारित विसंगती होऊ शकतो.

स्त्रोत: opennet.ru