OpenSSL cryptographic library 1.1.1k جو هڪ سار سنڀال رليز موجود آهي، جيڪو ٻن خطرن کي حل ڪري ٿو جيڪي هڪ اعليٰ شدت واري سطح تي مقرر ٿيل آهن:
- CVE-2021-3450 - هڪ سرٽيفڪيٽ اٿارٽي سرٽيفڪيٽ جي تصديق کي بائي پاس ڪرڻ ممڪن آهي جڏهن X509_V_FLAG_X509_STRICT پرچم فعال آهي، جيڪو ڊفالٽ طور بند ٿيل آهي ۽ زنجير ۾ سرٽيفڪيٽ جي موجودگي کي اضافي طور تي چيڪ ڪرڻ لاءِ استعمال ڪيو ويندو آهي. مسئلو متعارف ڪرايو ويو OpenSSL 1.1.1h جي هڪ نئين چيڪ جي نفاذ ۾ جيڪو سرٽيفڪيٽ جي استعمال کي منع ڪري ٿو زنجير ۾ جيڪو واضح طور تي ايليپيٽڪ وکر پيرا ميٽرز کي انڪوڊ ڪري ٿو.
ڪوڊ ۾ هڪ غلطي جي ڪري، نئين چيڪ سرٽيفڪيشن اٿارٽي سرٽيفڪيٽ جي صحيحيت لاءِ اڳ ۾ ڪيل چيڪ جي نتيجي کي ختم ڪري ڇڏيو. نتيجي طور، سرٽيفڪيشن خود دستخط ٿيل سرٽيفڪيٽ پاران تصديق ٿيل، جيڪو سرٽيفڪيشن اٿارٽي سان اعتماد جي زنجير سان ڳنڍيل نه آهي، مڪمل طور تي قابل اعتماد سمجهيو ويو. جيڪڏهن "مقصد" پيٽرولر سيٽ ڪيو ويو آهي ته نقصان ظاهر نه ٿيندو، جيڪو ڊفالٽ طور مقرر ڪيو ويو آهي ڪلائنٽ ۽ سرور سرٽيفڪيٽ جي تصديق جي طريقيڪار ۾ libssl (TLS لاءِ استعمال ٿيل).
- CVE-2021-3449 - اهو ممڪن آهي ته هڪ TLS سرور حادثي جو سبب بڻجڻ هڪ ڪلائنٽ ذريعي خاص طور تي تيار ڪيل ClientHello پيغام موڪليندي. مسئلو signature_algorithms جي واڌ جي عمل ۾ NULL پوائنٽر جي حوالي سان لاڳاپيل آهي. مسئلو صرف انهن سرورن تي ٿئي ٿو جيڪي TLSv1.2 کي سپورٽ ڪن ٿا ۽ ڪنيڪشن جي بحالي کي فعال ڪن ٿا (ڊفالٽ طور تي فعال).
جو ذريعو: opennet.ru