Opublikowano OpenSSL 1.1.1g z poprawką dotyczącą luki w zabezpieczeniach TLS 1.3

Do dyspozycji wydanie korygujące biblioteki kryptograficznej OpenSSL 1.1.1g, w którym jest on eliminowany słaby punkt (CVE-2020-1967), co prowadzi do odmowy usługi podczas próby negocjowania połączenia TLS 1.3 z serwerem lub klientem kontrolowanym przez osobę atakującą. Luka jest klasyfikowana jako wysoka.

Problem pojawia się tylko w aplikacjach korzystających z funkcji SSL_check_chain() i powoduje awarię procesu w przypadku nieprawidłowego użycia rozszerzenia TLS „signature_algorithms_cert”. W szczególności, jeśli proces negocjacji połączenia otrzyma nieobsługiwaną lub niepoprawną wartość algorytmu przetwarzania podpisu cyfrowego, nastąpi wyłuskanie wskaźnika NULL i proces ulegnie awarii. Problem pojawia się od czasu wydania OpenSSL 1.1.1d.

Źródło: opennet.ru