Tokollo ea tlhokomelo ea laeborari ea OpenSSL cryptographic 1.1.1k ea fumaneha, e lokisang mefokolo e 'meli e fuoeng boemo bo phahameng haholo:
- CVE-2021-3450 - Hoa khonahala ho feta netefatso ea setifikeiti sa bolaoli ba setifikeiti ha folakha ea X509_V_FLAG_X509_STRICT e nolofalitsoe, e holofalitsoeng ka boiketsetso mme e sebelisetsoa ho lekola boteng ba setifikeiti ka ketane. Bothata bo ile ba hlahisoa ts'ebetsong ea OpenSSL 1.1.1h ea cheke e ncha e thibelang ts'ebeliso ea litifikeiti ka har'a ketane e kenyang liparamente tsa elliptic curve ka ho hlaka.
Ka lebaka la phoso khoutu, cheke e ncha e tlositse sephetho sa tlhahlobo e entsoeng pele bakeng sa ho nepahala ha setifikeiti sa bolaoli ba setifikeiti. Ka lebaka leo, litifikeiti tse netefalitsoeng ke setifikeiti se saenneng, se sa amahanngoang ke ketane ea trust ho bolaoli ba setifikeiti, li ile tsa nkuoa e le tse tšepahalang ka botlalo. Kotsi ha e hlahe haeba paramethara ea "morero" e setiloe, e behiloeng ka mokhoa oa kamehla mekhoeng ea netefatso ea setifikeiti sa moreki ho libssl (tse sebelisoang bakeng sa TLS).
- CVE-2021-3449 - Hoa khonahala ho baka ts'okelo ea seva ea TLS ka moreki a romella molaetsa o entsoeng ka mokhoa o ikhethileng oa ClientHello. Taba ena e amana le NULL pointer dereference ts'ebetsong ea katoloso ea signature_algorithms. Taba ena e hlaha feela ho li-server tse tšehetsang TLSv1.2 le ho nolofalletsa puisano ea khokahanyo (e nolofalitsoeng ke kamehla).
Source: opennet.ru