OpenSSL 1.1.1g TLS 1.3 जोखिमको लागि फिक्सको साथ प्रकाशित

उपलब्ध छ क्रिप्टोग्राफिक पुस्तकालय को सुधारात्मक रिलीज OpenSSL 1.1.1g, जसमा यो हटाइन्छ कमजोरी (CVE-2020-1967), आक्रमणकर्ता-नियन्त्रित सर्भर वा क्लाइन्टसँग TLS 1.3 जडान वार्ता गर्ने प्रयास गर्दा सेवा अस्वीकार गर्न नेतृत्व गर्दछ। जोखिम उच्च गम्भीरताको रूपमा मूल्याङ्कन गरिएको छ।

समस्या SSL_check_chain() प्रकार्य प्रयोग गर्ने एप्लिकेसनहरूमा मात्र देखिन्छ र TLS विस्तार "signature_algorithms_cert" गलत तरिकाले प्रयोग भएको खण्डमा प्रक्रियालाई क्र्यास गराउने गर्छ। विशेष गरी, यदि जडान वार्ता प्रक्रियाले डिजिटल हस्ताक्षर प्रशोधन एल्गोरिदमको लागि असमर्थित वा गलत मान प्राप्त गर्दछ भने, एक NULL सूचक dereference देखा पर्दछ र प्रक्रिया क्र्यास हुन्छ। समस्या OpenSSL 1.1.1d को रिलीज पछि देखा पर्दछ।

स्रोत: opennet.ru