OpenSSL 3.0.1 अपडेटले कमजोरी फिक्स गर्दछ

OpenSSL क्रिप्टोग्राफिक पुस्तकालय 3.0.1 र 1.1.1m को सुधारात्मक रिलीजहरू उपलब्ध छन्। संस्करण 3.0.1 ले जोखिम (CVE-2021-4044) लाई फिक्स गर्यो, र दुबै रिलीजहरूमा लगभग एक दर्जन बगहरू फिक्स गरियो।

कमजोरी SSL/TLS क्लाइन्टहरूको कार्यान्वयनमा अवस्थित छ र यो तथ्यसँग सम्बन्धित छ कि libssl पुस्तकालयले X509_verify_cert() प्रकार्यद्वारा फिर्ता गरिएका नकारात्मक त्रुटि कोडहरू गलत रूपमा ह्यान्डल गर्दछ, सर्भरद्वारा ग्राहकलाई पठाइएको प्रमाणपत्र प्रमाणित गर्न भनिन्छ। आन्तरिक त्रुटिहरू हुँदा नकारात्मक कोडहरू फर्काइन्छ, उदाहरणका लागि, यदि मेमोरी बफरको लागि आवंटित गर्न सकिँदैन। यदि यस्तो त्रुटि फिर्ता गरियो भने, SSL_connect() र SSL_do_handshake() जस्ता I/O प्रकार्यहरूमा पछिल्ला कलहरूले असफलता र SSL_ERROR_WANT_RETRY_VERIFY त्रुटि कोड फिर्ता गर्नेछ, जुन केवल यदि अनुप्रयोगले पहिले SSL_CTX_set_callback_verify मा कल गरेको छ भने मात्र फिर्ता गर्नुपर्छ।

धेरैजसो अनुप्रयोगहरूले SSL_CTX_set_cert_verify_callback() लाई कल नगर्ने भएकोले, SSL_ERROR_WANT_RETRY_VERIFY त्रुटिको घटनालाई गलत व्याख्या गर्न सकिन्छ र परिणामस्वरूप क्र्यास, लुप, वा अन्य गलत प्रतिक्रिया हुन सक्छ। OpenSSL 3.0 मा अर्को बगसँग संयोजनमा समस्या सबैभन्दा खतरनाक छ, जसले "विषय वैकल्पिक नाम" विस्तार बिना X509_verify_cert() मा प्रमाणपत्रहरू प्रशोधन गर्दा आन्तरिक त्रुटि निम्त्याउँछ, तर प्रयोग प्रतिबन्धहरूमा नाम बाइन्डिङको साथ। यस अवस्थामा, आक्रमणले प्रमाणपत्र ह्यान्डलिंग र TLS सत्र स्थापनामा अनुप्रयोग-विशिष्ट विसंगतिहरू निम्त्याउन सक्छ।

स्रोत: opennet.ru