Er is een correctieversie van de cryptografische bibliotheek OpenSSL 1.1.1k beschikbaar, waarin twee kwetsbaarheden zijn verholpen die een hoog risico met zich meebrachten:
- CVE-2021-3450 — de mogelijkheid om de certificaatvalidatie van de certificeringsinstantie te omzeilen wanneer de vlag X509_V_FLAG_X509_STRICT is ingeschakeld, die standaard is uitgeschakeld en wordt gebruikt voor aanvullende controles op de aanwezigheid van certificaten in de keten. Probleem is geïntroduceerd in de nieuwe controle die in OpenSSL 1.1.1h is verschenen, die het gebruik van certificaten in de keten verbiedt waar de elliptische krommeparameters expliciet zijn gecodeerd.
Door een fout in de code overschreef de nieuwe controle het resultaat van de voorafgaande controle op de geldigheid van het certificaat van de certificeringsinstantie. Uiteindelijk werden certificaten die door een zelfondertekend certificaat waren ondertekend, dat niet was verbonden met de vertrouwensketen van de certificeringsinstantie, behandeld als volledig betrouwbaar. De kwetsbaarheid manifesteert zich niet wanneer de parameter 'purpose' is ingesteld, die standaard is ingesteld in de procedures voor het valideren van client- en servercertificaten in libssl (toegepast voor TLS).
- CVE-2021-3449 — de mogelijkheid van een crash de server TLS door het verzenden van een speciaal vormgegeven ClientHello-bericht door de client. Het probleem is gerelateerd aan het dereferencen van een NULL-pointer in de implementatie van de signature_algorithms-extensie. Het probleem manifesteert zich alleen op servers met ondersteuning voor TLSv1.2 en de mogelijkheid om de verbinding opnieuw te onderhandelen (standaard ingeschakeld).
Bron: opennet.ru
