اوپن ایس ایس ایل کریپٹوگرافک لائبریری 1.1.1k کی بحالی کی ریلیز دستیاب ہے، جو دو خطرات کو ٹھیک کرتی ہے جنہیں اعلی شدت کی سطح تفویض کی گئی ہے:
- CVE-2021-3450 - جب X509_V_FLAG_X509_STRICT جھنڈا فعال ہوتا ہے تو سرٹیفکیٹ اتھارٹی سرٹیفکیٹ کی تصدیق کو نظرانداز کرنا ممکن ہوتا ہے، جو ڈیفالٹ طور پر غیر فعال ہوتا ہے اور اس کا استعمال سلسلہ میں سرٹیفکیٹس کی موجودگی کو چیک کرنے کے لیے کیا جاتا ہے۔ مسئلہ OpenSSL 1.1.1h کے ایک نئے چیک کے نفاذ میں متعارف کرایا گیا تھا جو ایک سلسلہ میں سرٹیفکیٹ کے استعمال کو منع کرتا ہے جو واضح طور پر بیضوی وکر کے پیرامیٹرز کو انکوڈ کرتا ہے۔
کوڈ میں خرابی کی وجہ سے، نئے چیک نے سرٹیفیکیشن اتھارٹی کے سرٹیفکیٹ کی درستگی کے لیے پہلے کیے گئے چیک کے نتیجے کو اوورروڈ کر دیا۔ نتیجے کے طور پر، ایک خود دستخط شدہ سرٹیفکیٹ کے ذریعے تصدیق شدہ سرٹیفکیٹ، جو سرٹیفیکیشن اتھارٹی سے ٹرسٹ کے سلسلہ سے منسلک نہیں ہیں، کو مکمل طور پر قابل اعتماد سمجھا جاتا ہے۔ اگر "مقصد" پیرامیٹر سیٹ کیا گیا ہے تو خطرہ ظاہر نہیں ہوتا ہے، جو کہ libssl میں کلائنٹ اور سرور سرٹیفکیٹ کی تصدیق کے طریقہ کار میں بطور ڈیفالٹ سیٹ ہوتا ہے (TLS کے لیے استعمال کیا جاتا ہے)۔
- CVE-2021-3449 - خاص طور پر تیار کردہ ClientHello پیغام بھیجنے والے کلائنٹ کے ذریعے TLS سرور کے کریش کا سبب بننا ممکن ہے۔ یہ مسئلہ signature_algorithms ایکسٹینشن کے نفاذ میں NULL پوائنٹر ڈیریفرنس سے متعلق ہے۔ مسئلہ صرف ان سرورز پر ہوتا ہے جو TLSv1.2 کو سپورٹ کرتے ہیں اور کنکشن کی دوبارہ گفت و شنید کو فعال کرتے ہیں (بذریعہ ڈیفالٹ فعال)۔
ماخذ: opennet.ru