Matoleo ya matengenezo ya maktaba ya kriptografia ya OpenSSL 3.0.1 na 1.1.1m yanapatikana. Toleo la 3.0.1 hurekebisha uwezekano wa kuathiriwa (CVE-2021-4044), na takriban hitilafu kadhaa hurekebishwa katika matoleo yote mawili.
Athari hii inapatikana katika utekelezaji wa viteja vya SSL/TLS na inatokana na ukweli kwamba maktaba ya libssl inashughulikia kimakosa thamani hasi za msimbo wa hitilafu zinazorejeshwa na chaguo za kukokotoa za X509_verify_cert(), inayoitwa ili kuthibitisha cheti kilichopitishwa kwa mteja na seva. Nambari hasi hurejeshwa wakati makosa ya ndani yanatokea, kwa mfano, ikiwa haiwezekani kutenga kumbukumbu kwa buffer. Ikiwa hitilafu kama hiyo itarejeshwa, simu zinazofuata kwa vitendakazi vya I/O kama vile SSL_connect() na SSL_do_handshake() zitaleta kutofaulu na msimbo wa hitilafu SSL_ERROR_WANT_RETRY_VERIFY, ambao unapaswa kurejeshwa tu ikiwa programu ilipiga simu hapo awali kwa SSL_CTX_set_cert_verify_callback() .
Kwa kuwa programu nyingi hazipigi simu SSL_CTX_set_cert_verify_callback(), tukio la hitilafu ya SSL_ERROR_WANT_RETRY_VERIFY linaweza kutafsiriwa vibaya na kusababisha ajali, kitanzi, au tabia nyingine isiyo sahihi. Tatizo ni hatari zaidi pamoja na hitilafu nyingine katika OpenSSL 3.0, ambayo husababisha hitilafu ya ndani wakati X509_verify_cert() inachakata vyeti bila kiendelezi cha "Jina Mbadala la Mada", lakini pamoja na vifungo vya jina katika vikwazo vya matumizi. Katika hali hii, shambulio linaweza kusababisha hitilafu zinazotegemea maombi katika kuchakata cheti na kuanzisha kipindi cha TLS.
Chanzo: opennet.ru