Está disponível uma versão corrigida da biblioteca criptográfica OpenSSL 1.1.1k, que resolve duas vulnerabilidades com alto grau de risco:
- CVE-2021-3450 — possibilidade de contornar a verificação do certificado da autoridade certificadora ao habilitar a flag X509_V_FLAG_X509_STRICT, que está desativada por padrão e é aplicada para uma verificação adicional da presença de certificados na cadeia. O problema foi introduzido na nova verificação que surgiu na implementação do OpenSSL 1.1.1h, que proíbe o uso de certificados na cadeia com parâmetros de curva elíptica codificados explicitamente.
Devido a um erro de código, a nova verificação sobrepujava o resultado da verificação anterior da validade do certificado da autoridade certificadora. Como resultado, os certificados assinados por um certificado autoassinado, que não estão relacionados em uma cadeia de confiança com a autoridade certificadora, eram tratados como totalmente confiáveis. A vulnerabilidade não se manifesta quando o parâmetro 'purpose' é configurado, que por padrão é definido nas rotinas de verificação de certificados de cliente e servidor em libssl (aplicado para TLS).
- CVE-2021-3449 — possibilidade de causar falha servidor TLS através do envio de uma mensagem ClientHello formatada de forma especial pelo cliente. O problema está relacionado à desreferenciação de um ponteiro NULL na implementação da extensão signature_algorithms. O problema se manifesta apenas em servidores suporte ao TLSv1.2 e com a renegociação de conexão habilitada (ativada por padrão).
Fonte: opennet.ru
