Er is een corrigerende uitgave van de cryptografische bibliotheek OpenSSL 1.1.1j beschikbaar, waarin twee kwetsbaarheden zijn verholpen:
- CVE-2021-23841 — dereferenceren van een null-pointer in de functie X509_issuer_and_serial_hash(), wat kan leiden tot een crash van applicaties die deze functie aanroepen voor het verwerken van X509-certificaten met een onjuist waarde in het veld issuer.
- CVE-2021-23840 — een integer overflow in de functies EVP_CipherUpdate, EVP_EncryptUpdate en EVP_DecryptUpdate, waarvan het resultaat kan zijn dat de waarde 1 wordt geretourneerd, wat betekent dat de operatie succesvol is uitgevoerd, en de instelling van een negatieve waarde met een grootte, wat kan leiden tot een crash van applicaties of verstoring van normaal gedrag.
- CVE-2021-23839 — een tekortkoming in de implementatie van bescherming tegen terugrollen naar het gebruik van het SSLv2-protocol. Dit manifesteert zich alleen in de oude tak 1.0.2.
Ook is er een release van het pakket LibreSSL 3.2.4 gepubliceerd, waarin het OpenBSD-project een fork van OpenSSL ontwikkelt die gericht is op het waarborgen van een hoger beveiligingsniveau. De release is opmerkelijk door de terugkeer naar het gebruik van oude code voor certificaatverificatie, gebruikt in LibreSSL 3.1.x, vanwege verstoring van normaal functioneren van sommige applicaties met bindende oplossingen om fouten in de oude code te omzeilen. Nieuw is de toevoeging van implementaties van de componenten exporter en autochain in TLSv1.3.
Bovendien is er een nieuwe release van de compacte cryptografische bibliotheek wolfSSL 4.7.0, geoptimaliseerd voor gebruik op embedded apparaten met beperkte CPU- en geheugencapaciteit, zoals Internet of Things-apparaten, slimme huizen, in-car informatiesystemen, routers en mobiele telefoons. De code is geschreven in de programmeertaal C en wordt verspreid onder de GPLv2-licentie.
In de nieuwe versie is ondersteuning voor RFC 5705 (Keying Material Exporters for TLS) en S/MIME (Secure/Multipurpose Internet Mail Extensions) geïmplementeerd. Een vlag "--enable-reproducible-build" is toegevoegd voor het waarborgen van reproduceerbare builds. In de laag voor compatibiliteit met OpenSSL zijn de API SSL_get_verify_mode, X509_VERIFY_PARAM API en X509_STORE_CTX toegevoegd. De macro WOLFSSL_PSK_IDENTITY_ALERT is geïmplementeerd. Een nieuwe functie _CTX_NoTicketTLSv12 is toegevoegd om sessietickets voor TLS 1.2 uit te schakelen, maar ze te behouden voor TLS 1.3.
Bron: opennet.ru
