Uppdatering av OpenSSL 1.1.1k med åtgärder mot två allvarliga sårbarheter

En korrigerande version av den kryptografiska biblioteken OpenSSL 1.1.1k finns tillgänglig, där två sårbarheter har åtgärdats och klassificerats som högrisk.

• CVE-2021-3450 — möjligheten att kringgå certifikatskontrollen för certifikatutfärdaren när flaggan X509_V_FLAG_X509_STRICT är aktiverad, vilket är avstängt som standard och används för ytterligare åtgärder för att verifiera certifikat i kedjan. Problemet uppstod i den nya kontrollen som infördes i OpenSSL 1.1.1h, vilket förbjuder användning av certifikat i kedjan där parametrarna för den elliptiska kurvan är uttryckligen kodade.

  På grund av ett fel i koden överskrev den nya kontrollen resultatet av den tidigare genomförda kontrollen av certifikatutfärdarens giltighet. Detta ledde till att certifikat som var signerade av ett självsignerat certifikat, som inte hade en trovärdig kedja till certifikatutfärdaren, behandlades som helt pålitliga. Sårbarheten uppstår inte om 'purpose' parametern är inställd, vilket görs som standard vid kontroller av klient- och servercertifikat i libssl (används för TLS).

• CVE-2021-3449 — en möjlighet att orsaka en krasch servern TLS genom att kunden skickar ett speciellt formaterat ClientHello-meddelande. Problemet är kopplat till avreferering av en NULL-pekare i implementeringen av tillägget signature_algorithms. Problemet uppstår endast på servrar system med stöd för TLSv1.2 och med tillåten omförhandling av anslutningen (aktiverat som standard).

Källa: opennet.ru