Itusilẹ itọju ti ile-ikawe cryptographic OpenSSL 1.1.1k wa, eyiti o ṣe atunṣe awọn ailagbara meji ti o jẹ ipin ipele to gaju:
- CVE-2021-3450 - O ṣee ṣe lati fori ijerisi ti ijẹrisi aṣẹ ijẹrisi nigbati asia X509_V_FLAG_X509_STRICT ti ṣiṣẹ, eyiti o jẹ alaabo nipasẹ aiyipada ati pe o lo lati ṣayẹwo ni afikun wiwa awọn iwe-ẹri ninu pq. Iṣoro naa ti ṣafihan ni imuse OpenSSL 1.1.1h ti sọwedowo tuntun ti o ṣe idiwọ lilo awọn iwe-ẹri ninu pq kan ti o fi koodu iwọle si awọn ayeraye elliptic ni gbangba.
Nitori aṣiṣe ninu koodu naa, ṣayẹwo tuntun bori abajade ti iṣayẹwo ti a ṣe tẹlẹ fun titọ ti ijẹrisi aṣẹ iwe-ẹri. Bi abajade, awọn iwe-ẹri ti a fọwọsi nipasẹ ijẹrisi ti ara ẹni, eyiti ko ni asopọ nipasẹ pq ti igbẹkẹle si aṣẹ iwe-ẹri, ni a tọju bi igbẹkẹle ni kikun. Ailagbara naa ko han ti o ba ṣeto paramita “idi”, eyiti o ṣeto nipasẹ aiyipada ni alabara ati awọn ilana ijẹrisi olupin ni libssl (ti a lo fun TLS).
- CVE-2021-3449 - O ṣee ṣe lati fa jamba olupin TLS nipasẹ alabara kan ti o nfiranṣẹ ifiranṣẹ ClientHello ti a ṣe ni pataki. Ọrọ naa jẹ ibatan si ifisilẹ itọka NULL ni imuse itẹsiwaju signture_algorithms. Ọrọ naa waye nikan lori awọn olupin ti o ṣe atilẹyin TLSv1.2 ati mu idunadura asopọ ṣiṣẹ (ṣiṣẹ nipasẹ aiyipada).
orisun: opennet.ru