ਦੋ ਕਮਜ਼ੋਰੀਆਂ ਲਈ ਫਿਕਸ ਦੇ ਨਾਲ OpenSSL 1.1.1l ਅੱਪਡੇਟ

OpenSSL ਕ੍ਰਿਪਟੋਗ੍ਰਾਫਿਕ ਲਾਇਬ੍ਰੇਰੀ 1.1.1l ਦੀ ਇੱਕ ਸੁਧਾਰਾਤਮਕ ਰੀਲੀਜ਼ ਦੋ ਕਮਜ਼ੋਰੀਆਂ ਦੇ ਖਾਤਮੇ ਨਾਲ ਉਪਲਬਧ ਹੈ:

• CVE-2021-3711 SM2 ਕ੍ਰਿਪਟੋਗ੍ਰਾਫਿਕ ਐਲਗੋਰਿਦਮ (ਚੀਨ ਵਿੱਚ ਆਮ) ਨੂੰ ਲਾਗੂ ਕਰਨ ਵਾਲੇ ਕੋਡ ਵਿੱਚ ਇੱਕ ਬਫਰ ਓਵਰਫਲੋ ਹੈ, ਜੋ ਬਫਰ ਆਕਾਰ ਦੀ ਗਣਨਾ ਕਰਨ ਵਿੱਚ ਇੱਕ ਗਲਤੀ ਦੇ ਕਾਰਨ ਬਫਰ ਸੀਮਾ ਤੋਂ ਬਾਹਰ ਇੱਕ ਖੇਤਰ ਵਿੱਚ 62 ਬਾਈਟਾਂ ਤੱਕ ਨੂੰ ਓਵਰਰਾਈਟ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ। ਇੱਕ ਹਮਲਾਵਰ ਸੰਭਾਵੀ ਤੌਰ 'ਤੇ SM2 ਡੇਟਾ ਨੂੰ ਡੀਕ੍ਰਿਪਟ ਕਰਨ ਲਈ EVP_PKEY_decrypt() ਫੰਕਸ਼ਨ ਦੀ ਵਰਤੋਂ ਕਰਨ ਵਾਲੀਆਂ ਐਪਲੀਕੇਸ਼ਨਾਂ ਨੂੰ ਵਿਸ਼ੇਸ਼ ਤੌਰ 'ਤੇ ਤਿਆਰ ਕੀਤਾ ਡੀਕੋਡਿੰਗ ਡੇਟਾ ਪਾਸ ਕਰਕੇ ਕੋਡ ਐਗਜ਼ੀਕਿਊਸ਼ਨ ਜਾਂ ਐਪਲੀਕੇਸ਼ਨ ਕਰੈਸ਼ ਪ੍ਰਾਪਤ ਕਰ ਸਕਦਾ ਹੈ।
• CVE-2021-3712 ASN.1 ਸਟ੍ਰਿੰਗ ਪ੍ਰੋਸੈਸਿੰਗ ਕੋਡ ਵਿੱਚ ਇੱਕ ਬਫਰ ਓਵਰਫਲੋ ਹੈ, ਜੋ ਇੱਕ ਐਪਲੀਕੇਸ਼ਨ ਕ੍ਰੈਸ਼ ਦਾ ਕਾਰਨ ਬਣ ਸਕਦਾ ਹੈ ਜਾਂ ਪ੍ਰਕਿਰਿਆ ਮੈਮੋਰੀ ਦੀ ਸਮੱਗਰੀ ਨੂੰ ਪ੍ਰਗਟ ਕਰ ਸਕਦਾ ਹੈ (ਉਦਾਹਰਨ ਲਈ, ਮੈਮੋਰੀ ਵਿੱਚ ਸਟੋਰ ਕੀਤੀਆਂ ਕੁੰਜੀਆਂ ਦੀ ਪਛਾਣ ਕਰਨ ਲਈ) ਜੇਕਰ ਹਮਲਾਵਰ ਕਿਸੇ ਤਰ੍ਹਾਂ ਤਿਆਰ ਕਰਨ ਦੇ ਯੋਗ ਹੁੰਦਾ ਹੈ। ਅੰਦਰੂਨੀ ASN1_STRING ਢਾਂਚੇ ਵਿੱਚ ਇੱਕ ਸਤਰ। ਇੱਕ ਨਲ ਅੱਖਰ ਦੁਆਰਾ ਬੰਦ ਨਹੀਂ ਕੀਤਾ ਗਿਆ, ਅਤੇ ਇਸਨੂੰ OpenSSL ਫੰਕਸ਼ਨਾਂ ਵਿੱਚ ਪ੍ਰੋਸੈਸ ਕਰਦਾ ਹੈ ਜੋ ਸਰਟੀਫਿਕੇਟ ਪ੍ਰਿੰਟ ਕਰਦੇ ਹਨ, ਜਿਵੇਂ ਕਿ X509_aux_print(), X509_get1_email(), X509_REQ_get1_email() ਅਤੇ X509_get1_ocsp()।

ਉਸੇ ਸਮੇਂ, LibreSSL ਲਾਇਬ੍ਰੇਰੀ 3.3.4 ਅਤੇ 3.2.6 ਦੇ ਨਵੇਂ ਸੰਸਕਰਣ ਜਾਰੀ ਕੀਤੇ ਗਏ ਸਨ, ਜੋ ਸਪੱਸ਼ਟ ਤੌਰ 'ਤੇ ਕਮਜ਼ੋਰੀਆਂ ਦਾ ਜ਼ਿਕਰ ਨਹੀਂ ਕਰਦੇ ਹਨ, ਪਰ ਤਬਦੀਲੀਆਂ ਦੀ ਸੂਚੀ ਦੁਆਰਾ ਨਿਰਣਾ ਕਰਦੇ ਹੋਏ, CVE-2021-3712 ਕਮਜ਼ੋਰੀ ਨੂੰ ਖਤਮ ਕਰ ਦਿੱਤਾ ਗਿਆ ਹੈ।

ਸਰੋਤ: opennet.ru