Нашри хидматрасонии китобхонаи криптографии OpenSSL 1.1.1k дастрас аст, ки ду осебпазириро, ки дараҷаи шиддати баланд таъин шудаанд, ислоҳ мекунад:
- CVE-2021-3450 - Ҳангоми фаъол будани парчами X509_V_FLAG_X509_STRICT, ки ба таври нобаёнӣ ғайрифаъол аст ва барои санҷиши иловагии мавҷудияти сертификатҳо дар занҷир истифода мешавад, аз санҷиши сертификати мақомоти сертификатсия гузаштан мумкин аст. Мушкилот дар татбиқи санҷиши нав дар OpenSSL 1.1.1h ҷорӣ карда шуд, ки истифодаи сертификатҳоро дар занҷире, ки параметрҳои хатти эллиптикиро ба таври возеҳ рамзгузорӣ мекунад, манъ мекунад.
Аз сабаби хатогӣ дар код, чеки нав натиҷаи санҷиши қаблан анҷомдодашударо барои дурустии шаҳодатномаи мақомоти сертификатсия барҳам дод. Дар натиҷа, сертификатҳое, ки бо шаҳодатномаи худ имзошуда тасдиқ карда шудаанд, ки бо занҷири эътимод ба мақомоти сертификатсия алоқаманд нестанд, комилан эътимоднок ҳисобида шуданд. Агар параметри "мақсад" муқаррар карда шуда бошад, осебпазирӣ пайдо намешавад, ки он ба таври нобаёнӣ дар расмиёти санҷиши сертификати муштарӣ ва сервер дар libssl (барои TLS истифода мешавад) муқаррар карда мешавад.
- CVE-2021-3449 - Тавассути муштарӣ, ки паёми махсуси ClientHello-ро мефиристад, боиси суқути сервери TLS мегардад. Мушкилот бо истинод ба NULL ишоракунанда дар татбиқи тамдиди signature_algorithms алоқаманд аст. Мушкилот танҳо дар серверҳое рух медиҳад, ки TLSv1.2-ро дастгирӣ мекунанд ва дубора гуфтушуниди пайвастро фаъол мекунанд (бо нобаёнӣ фаъол аст).
Манбаъ: opennet.ru