OpenSSL 1.1.1k-uppdatering med korrigeringar för två farliga sårbarheter

OpenSSL 1.1.1k-patchversionen är nu tillgänglig och åtgärdar två sårbarheter som klassats som hög allvarlighetsgrad:

• CVE-2021-3450 — En möjlig kringgång av CA-certifikatvalidering är möjlig när flaggan X509_V_FLAG_X509_STRICT är aktiverad. Denna flagga, inaktiverad som standard och används för ytterligare verifiering av certifikat i en kedja, används. Problemet introducerades i en ny kontroll som introducerades i OpenSSL 1.1.1h som förhindrar användning av certifikat i en kedja som explicit kodar elliptiska kurvparametrar.

  På grund av ett kodfel åsidosatte den nya kontrollen resultatet av en tidigare utförd certifikatvalideringskontroll av en CA. Som ett resultat behandlades certifikat som autentiserats av ett självsignerat certifikat, som inte är länkat till CA:n via en förtroendekedja, som helt tillförlitliga. Sårbarheten manifesterar sig inte när parametern "purpose" är inställd, vilket är standardvärdet i klient- och servercertifikatvalideringsrutinerna i libssl (används för TLS).

• CVE-2021-3449 – Möjlighet att orsaka en krasch server TLS via klienten som skickar ett specialskrivet ClientHello-meddelande. Problemet är relaterat till en NULL-pekare-dereferens i implementeringen av signature_algorithms-tillägget. Problemet manifesterar sig endast i servrar med stöd för TLSv1.2 och omförhandling av anslutning aktiverat (aktiverat som standard).

Källa: opennet.ru