OpenSSL 1.1.1l अपडेट दुई कमजोरीहरूको लागि फिक्सहरू सहित

OpenSSL क्रिप्टोग्राफिक पुस्तकालय 1.1.1l को सुधारात्मक रिलीज दुई कमजोरीहरूको उन्मूलनको साथ उपलब्ध छ:

• CVE-2021-3711 SM2 क्रिप्टोग्राफिक एल्गोरिथ्म (चीनमा सामान्य) लागू गर्ने कोडमा बफर ओभरफ्लो हो, जसले बफर साइज गणना गर्दा त्रुटिको कारणले बफर सीमाभन्दा बाहिरको क्षेत्रमा 62 बाइटहरू ओभरराइट गर्न अनुमति दिन्छ। SM2 डाटा डिक्रिप्ट गर्न EVP_PKEY_decrypt() प्रकार्य प्रयोग गर्ने अनुप्रयोगहरूलाई विशेष रूपमा क्राफ्ट गरिएको डिकोडिङ डेटा पास गरेर आक्रमणकारीले कोड कार्यान्वयन वा अनुप्रयोग क्र्यासलाई सम्भावित रूपमा प्राप्त गर्न सक्छ।
• CVE-2021-3712 ASN.1 स्ट्रिङ प्रशोधन कोडमा भएको बफर ओभरफ्लो हो, जसले आक्रमणकारीले कुनै न कुनै तरिकाले उत्पन्न गर्न सक्षम भएमा एप्लिकेसन क्र्यास हुन सक्छ वा प्रक्रिया मेमोरीका सामग्रीहरू (उदाहरणका लागि, मेमोरीमा भण्डारण गरिएका कुञ्जीहरू पहिचान गर्न) प्रकट गर्न सक्छ। आन्तरिक ASN1_STRING संरचनामा स्ट्रिङ। शून्य क्यारेक्टरद्वारा समाप्त नगरिएको, र X509_aux_print(), X509_get1_email(), X509_REQ_get1_email() र X509_get1_ocsp() जस्ता प्रमाणपत्रहरू छाप्ने OpenSSL प्रकार्यहरूमा प्रशोधन गर्नुहोस्।

उही समयमा, LibreSSL पुस्तकालय 3.3.4 र 3.2.6 को नयाँ संस्करणहरू जारी गरियो, जसले कमजोरीहरूलाई स्पष्ट रूपमा उल्लेख गर्दैन, तर परिवर्तनहरूको सूचीलाई हेरेर, CVE-2021-3712 जोखिम हटाइएको छ।

स्रोत: opennet.ru