OpenSSL 3.0.4 मा जोखिम रिमोट प्रक्रिया मेमोरी भ्रष्टाचार निम्त्याउँछ

OpenSSL क्रिप्टोग्राफिक पुस्तकालयमा एउटा जोखिम पहिचान गरिएको छ (CVE अझै तोकिएको छैन), जसको मद्दतले टाढाको आक्रमणकारीले TLS जडान स्थापना गर्दा विशेष रूपमा डिजाइन गरिएको डाटा पठाएर प्रक्रिया मेमोरीको सामग्रीलाई क्षति पुर्‍याउन सक्छ। यो अझै स्पष्ट छैन कि समस्याले आक्रमणकर्ता कोड कार्यान्वयन र प्रक्रिया मेमोरीबाट डाटा लीक हुन सक्छ, वा यो क्र्यासमा सीमित छ कि छैन।

जुन 3.0.4 मा प्रकाशित OpenSSL 21 विमोचनमा कमजोरी देखिन्छ, र कोडमा भएको बगको लागि गलत समाधानको कारणले गर्दा 8192 बाइटसम्म डाटा ओभरराइट वा आवंटित बफरभन्दा बाहिर पढ्न सकिन्छ। जोखिमको शोषण AVX86 निर्देशनहरूको लागि समर्थनको साथ x64_512 प्रणालीहरूमा मात्र सम्भव छ।

OpenSSL का फोर्कहरू जस्तै BoringSSL र LibreSSL, साथै OpenSSL 1.1.1 शाखा, समस्याबाट प्रभावित छैनन्। फिक्स हाल प्याचको रूपमा मात्र उपलब्ध छ। सबैभन्दा खराब अवस्थामा, समस्या Heartbleed जोखिम भन्दा बढी खतरनाक हुन सक्छ, तर खतरा स्तर यो तथ्य द्वारा कम गरिएको छ कि जोखिम मात्र OpenSSL 3.0.4 रिलीजमा देखिन्छ, जबकि धेरै वितरणहरू 1.1.1 लाई पठाउन जारी राख्छन्। पूर्वनिर्धारित रूपमा शाखा वा संस्करण 3.0.4 सँग प्याकेज अद्यावधिकहरू निर्माण गर्न अझै समय छैन।

स्रोत: opennet.ru