ਦੋ ਖਤਰਨਾਕ ਕਮਜ਼ੋਰੀਆਂ ਲਈ ਫਿਕਸ ਦੇ ਨਾਲ OpenSSL 1.1.1k ਅੱਪਡੇਟ

OpenSSL ਕ੍ਰਿਪਟੋਗ੍ਰਾਫਿਕ ਲਾਇਬ੍ਰੇਰੀ 1.1.1k ਦੀ ਇੱਕ ਰੱਖ-ਰਖਾਅ ਰੀਲੀਜ਼ ਉਪਲਬਧ ਹੈ, ਜੋ ਦੋ ਕਮਜ਼ੋਰੀਆਂ ਨੂੰ ਠੀਕ ਕਰਦੀ ਹੈ ਜਿਨ੍ਹਾਂ ਨੂੰ ਉੱਚ ਗੰਭੀਰਤਾ ਪੱਧਰ ਨਿਰਧਾਰਤ ਕੀਤਾ ਗਿਆ ਹੈ:

• CVE-2021-3450 - ਜਦੋਂ X509_V_FLAG_X509_STRICT ਫਲੈਗ ਸਮਰਥਿਤ ਹੁੰਦਾ ਹੈ ਤਾਂ ਇੱਕ ਸਰਟੀਫਿਕੇਟ ਅਥਾਰਟੀ ਸਰਟੀਫਿਕੇਟ ਦੀ ਤਸਦੀਕ ਨੂੰ ਬਾਈਪਾਸ ਕਰਨਾ ਸੰਭਵ ਹੁੰਦਾ ਹੈ, ਜੋ ਡਿਫੌਲਟ ਰੂਪ ਵਿੱਚ ਅਯੋਗ ਹੁੰਦਾ ਹੈ ਅਤੇ ਇਸਦੀ ਵਰਤੋਂ ਲੜੀ ਵਿੱਚ ਸਰਟੀਫਿਕੇਟਾਂ ਦੀ ਮੌਜੂਦਗੀ ਦੀ ਜਾਂਚ ਕਰਨ ਲਈ ਕੀਤੀ ਜਾਂਦੀ ਹੈ। ਸਮੱਸਿਆ ਨੂੰ OpenSSL 1.1.1h ਦੇ ਇੱਕ ਨਵੀਂ ਜਾਂਚ ਦੇ ਲਾਗੂ ਕਰਨ ਵਿੱਚ ਪੇਸ਼ ਕੀਤਾ ਗਿਆ ਸੀ ਜੋ ਇੱਕ ਲੜੀ ਵਿੱਚ ਸਰਟੀਫਿਕੇਟਾਂ ਦੀ ਵਰਤੋਂ ਨੂੰ ਮਨ੍ਹਾ ਕਰਦਾ ਹੈ ਜੋ ਸਪੱਸ਼ਟ ਤੌਰ 'ਤੇ ਅੰਡਾਕਾਰ ਕਰਵ ਪੈਰਾਮੀਟਰਾਂ ਨੂੰ ਏਨਕੋਡ ਕਰਦਾ ਹੈ।

  ਕੋਡ ਵਿੱਚ ਇੱਕ ਤਰੁੱਟੀ ਦੇ ਕਾਰਨ, ਨਵੀਂ ਜਾਂਚ ਨੇ ਪ੍ਰਮਾਣੀਕਰਨ ਅਥਾਰਟੀ ਸਰਟੀਫਿਕੇਟ ਦੀ ਸ਼ੁੱਧਤਾ ਲਈ ਪਹਿਲਾਂ ਕੀਤੀ ਜਾਂਚ ਦੇ ਨਤੀਜੇ ਨੂੰ ਓਵਰਰੋਡ ਕਰ ਦਿੱਤਾ। ਨਤੀਜੇ ਵਜੋਂ, ਸਵੈ-ਦਸਤਖਤ ਕੀਤੇ ਪ੍ਰਮਾਣ-ਪੱਤਰ ਦੁਆਰਾ ਪ੍ਰਮਾਣਿਤ ਪ੍ਰਮਾਣ-ਪੱਤਰ, ਜੋ ਕਿਸੇ ਪ੍ਰਮਾਣੀਕਰਣ ਅਥਾਰਟੀ ਨਾਲ ਟਰੱਸਟ ਦੀ ਲੜੀ ਦੁਆਰਾ ਲਿੰਕ ਨਹੀਂ ਕੀਤੇ ਗਏ ਹਨ, ਨੂੰ ਪੂਰੀ ਤਰ੍ਹਾਂ ਭਰੋਸੇਮੰਦ ਮੰਨਿਆ ਜਾਂਦਾ ਹੈ। ਜੇ "ਉਦੇਸ਼" ਪੈਰਾਮੀਟਰ ਸੈੱਟ ਕੀਤਾ ਗਿਆ ਹੈ, ਤਾਂ ਕਮਜ਼ੋਰੀ ਦਿਖਾਈ ਨਹੀਂ ਦਿੰਦੀ, ਜੋ ਕਿ libssl (TLS ਲਈ ਵਰਤੀ ਜਾਂਦੀ ਹੈ) ਵਿੱਚ ਕਲਾਈਂਟ ਅਤੇ ਸਰਵਰ ਸਰਟੀਫਿਕੇਟ ਤਸਦੀਕ ਪ੍ਰਕਿਰਿਆਵਾਂ ਵਿੱਚ ਮੂਲ ਰੂਪ ਵਿੱਚ ਸੈੱਟ ਕੀਤੀ ਜਾਂਦੀ ਹੈ।

• CVE-2021-3449 - ਖਾਸ ਤੌਰ 'ਤੇ ਤਿਆਰ ਕੀਤਾ ਗਿਆ ClientHello ਸੁਨੇਹਾ ਭੇਜਣ ਵਾਲੇ ਗਾਹਕ ਦੁਆਰਾ ਇੱਕ TLS ਸਰਵਰ ਕਰੈਸ਼ ਹੋਣਾ ਸੰਭਵ ਹੈ। ਮੁੱਦਾ ਸਿਗਨੇਚਰ_ਐਲਗੋਰਿਦਮ ਐਕਸਟੈਂਸ਼ਨ ਨੂੰ ਲਾਗੂ ਕਰਨ ਵਿੱਚ NULL ਪੁਆਇੰਟਰ ਡੀਰੇਫਰੈਂਸ ਨਾਲ ਸਬੰਧਤ ਹੈ। ਸਮੱਸਿਆ ਸਿਰਫ਼ ਉਹਨਾਂ ਸਰਵਰਾਂ 'ਤੇ ਹੁੰਦੀ ਹੈ ਜੋ TLSv1.2 ਦਾ ਸਮਰਥਨ ਕਰਦੇ ਹਨ ਅਤੇ ਕਨੈਕਸ਼ਨ ਰੀਨੇਗੋਸ਼ੀਏਸ਼ਨ ਨੂੰ ਸਮਰੱਥ ਕਰਦੇ ਹਨ (ਡਿਫੌਲਟ ਤੌਰ 'ਤੇ ਸਮਰੱਥ)।

ਸਰੋਤ: opennet.ru