Sú k dispozícii opravné vydania kryptografickej knižnice OpenSSL 3.0.1 a 1.1.1m. Vo verzii 3.0.1 bola odstránená zraniteľnosť (CVE-2021-4044), rovnako v oboch vydaniach bolo opravených približne desať chýb.
Zraniteľnosť je prítomná v implementácii SSL/TLS klientov a je spojená s tým, že knižnica libssl nesprávne spracováva negatívne hodnoty chybových kódov, ktoré vracia funkcia X509_verify_cert() volaná na overenie certifikátu zaslaného klientovi serverom. Negatívne kódy sa vracajú pri vnútorných chybách, napríklad v prípade, že nie je možné alokovať pamäť pre vyrovnávaciu pamäť. V prípade vrátenia takejto chyby ďalšie volanie vstupno/výstupných funkcií, ako sú SSL_connect() a SSL_do_handshake(), povedie k neúspešnému dokončeniu a chybovému kódu SSL_ERROR_WANT_RETRY_VERIFY, ktorý by sa mal vracať iba v prípade, že aplikácia predtým volala SSL_CTX_set_cert_verify_callback().
Keďže väčšina aplikácií nevolá SSL_CTX_set_cert_verify_callback(), výskyt chyby SSL_ERROR_WANT_RETRY_VERIFY môže byť nesprávne interpretovaný a viesť k havárii, cyklovaniu alebo iným nesprávnym reakciám. Najväčšie nebezpečenstvo táto chyba predstavuje v kombinácii s inou chybou v OpenSSL 3.0, ktorá spôsobuje vnútornú chybu pri spracovaní certifikátov v X509_verify_cert(), nemajúcich rozšírenie «Subject Alternative Name», ale s viazaniami na mená v obmedzeniach použitia. V tomto prípade môže útok viesť k aplikáciám závislým anomáliám pri spracovaní certifikátov a nadväzovaní relácií TLS.
Zdroj: opennet.ru
