OpenSSL ගුප්ත ලේඛන පුස්තකාලයේ නඩත්තු නිකුතුවක් 1.1.1k ලබා ගත හැකි අතර, එය ඉහළ බරපතල මට්ටමක් පවරා ඇති දුර්වලතා දෙකක් නිවැරදි කරයි:
- CVE-2021-3450 - පෙරනිමියෙන් අබල කර ඇති X509_V_FLAG_X509_STRICT ධජය සක්‍රීය කර ඇති විට සහතික අධිකාරී සහතිකයේ සත්‍යාපනය මඟ හැරිය හැකි අතර, දාමයේ සහතික තිබේද යන්න අතිරේකව පරීක්ෂා කිරීමට භාවිතා කරයි. ගැටලුව හඳුන්වා දෙන ලද්දේ OpenSSL 1.1.1h විසින් ඉලිප්සීය වක්‍ර පරාමිතීන් පැහැදිලිව කේතනය කරන දාමයක සහතික භාවිතා කිරීම තහනම් කරන නව චෙක්පතක් ක්‍රියාත්මක කිරීමේදීය.
කේතයේ දෝෂයක් හේතුවෙන්, නව චෙක්පත සහතික කිරීමේ අධිකාරියේ සහතිකයේ නිවැරදි බව සඳහා කලින් සිදු කරන ලද චෙක්පතක ප්‍රතිඵලය ඉක්මවා ගියේය. එහි ප්‍රතිඵලයක් වශයෙන්, සහතික කිරීමේ අධිකාරියකට විශ්වාස දාමයකින් සම්බන්ධ නොවූ, ස්වයං-අත්සන සහිත සහතිකයක් මගින් සහතික කරන ලද සහතික සම්පූර්ණයෙන්ම විශ්වාසදායක ලෙස සලකනු ලැබීය. libssl (TLS සඳහා භාවිතා කරන) සේවාදායක සහ සේවාදායක සහතික සත්‍යාපන ක්‍රියා පටිපාටිවල පෙරනිමියෙන් සකසන ලද “අරමුණ” පරාමිතිය සකසා ඇත්නම් අවදානම නොපෙන්වයි.
- CVE-2021-3449 - විශේෂයෙන් සකස් කරන ලද ClientHello පණිවිඩයක් යවන සේවාලාභියෙකු හරහා TLS සේවාදායකය බිඳවැටීමක් ඇති කළ හැකිය. ගැටලුව අත්සන්_ඇල්ගොරිතම දිගුව ක්‍රියාත්මක කිරීමේදී NULL පොයින්ටර් dereference හා සම්බන්ධ වේ. ගැටළුව ඇති වන්නේ TLSv1.2 සඳහා සහය දක්වන සහ සම්බන්ධතා නැවත සාකච්ඡා කිරීම සබල කරන (පෙරනිමියෙන් සක්‍රීය කර ඇති) සේවාදායකයන් මත පමණි.
මූලාශ්රය: opennet.ru