Dostupná je oprava kryptografickej knižnice OpenSSL 1.1.1k, ktorá odstraňuje dve zraniteľnosti s vysokou úrovňou nebezpečenstva:
- CVE-2021-3450 — možnosť obchádzania kontroly certifikátu certifikačnej autority pri aktivovaní voľby X509_V_FLAG_X509_STRICT, ktorá je predvolene vypnutá a používa sa na dodatočné overenie prítomnosti certifikátov v reťazci. Problém bol zavedený v OpenSSL 1.1.1h pri implementácii novej kontroly, ktorá zakazuje používanie certifikátov v reťazci, v ktorých sú explicitne zakódované parametre eliptickej krivky.
V dôsledku chyby v kóde nová kontrola prepisovala výsledok predchádzajúcej kontroly platnosti certifikátu certifikačnej autority. V dôsledku toho sa certifikáty vydané samopodpisovým certifikátom, ktorý nie je spojený s reťazcom dôvery certifikačnej autority, spracovávali ako plne dôveryhodné. Zraniteľnosť sa neprejavuje v prípade nastavenia parametra „purpose“, ktorý je predvolene stanovený v procedúrach kontroly klientskych a serverových certifikátov v libssl (používa sa pre TLS).
- CVE-2021-3449 — možnosť vyvolania zhroucenia servera TLS prostredníctvom poslania špeciálne sformulovanej správy ClientHello klientom. Problém súvisí s dereferenciou NULL ukazovateľa v implementácii rozšírenia signature_algorithms. Problém sa prejavuje iba na serveroch s podporou TLSv1.2 a povolením opätovného uzatvorenia spojenia (predvolene zapnuté).
Zdroj: opennet.ru
