OpenSSL修復(fù)了嚴(yán)重的DoS和證書驗(yàn)證漏洞

OpenSSL 是一個(gè)常用的軟件庫，用于構(gòu)建需要建立安全通信的網(wǎng)絡(luò)應(yīng)用和服務(wù)器。近日，OpenSSL 項(xiàng)目針對潛伏在 OpenSSL 產(chǎn)品中的兩個(gè)高危漏洞 CVE-2021-3449 和 CVE-2021-3450 發(fā)布了公告。

這兩個(gè)漏洞包括：

CVE-2021-3449：由于 NULL 指針取消引用而導(dǎo)致的拒絕服務(wù)(DoS)漏洞，只影響 OpenSSL 服務(wù)器實(shí)例，而不影響客戶端。 CVE-2021-3450：不正確的 CA 證書驗(yàn)證漏洞，同時(shí)影響服務(wù)器和客戶端實(shí)例。 單行代碼即可修復(fù) DoS 漏洞

 

如果在重新協(xié)商的過程中，客戶端發(fā)送了一個(gè)惡意的 ClientHello 消息，OpenSSL TLS 服務(wù)器中的 DoS 漏洞(CVE-2021-3449)就會(huì)導(dǎo)致服務(wù)器崩潰。

公告指出，"如果 TLSv1.2 重新協(xié)商的 ClientHello 省略了 signature_algorithms 擴(kuò)展(在初始的 ClientHello 中存在)，但包含了 signature_algorithms_cert 擴(kuò)展，那么就會(huì)導(dǎo)致 NULL 指針取消引用，從而導(dǎo)致崩潰和拒絕服務(wù)攻擊。"

該漏洞只影響運(yùn)行在 1.1.1 和 1.1.1j 版本之間(包括兩者)且需要同時(shí)啟用 TLSv1.2 和重新協(xié)商的 OpenSSL 服務(wù)器。然而，由于這是這些 OpenSSL 服務(wù)器版本的默認(rèn)配置，許多活躍的服務(wù)器可能都存在這個(gè)潛在的漏洞，而 OpenSSL 客戶端則不受該漏洞影響。

幸運(yùn)的是，修復(fù)這個(gè) DoS 漏洞十分簡單，只需要將 peer_sigalgslen 設(shè)置為 0 即可。

該漏洞由諾基亞的工程師 Peter Kästle 和 Samuel Sapalski 發(fā)現(xiàn)，他們也提供了上圖所示的修復(fù)方法。

CA 證書漏洞

 

繞過 CA 證書驗(yàn)證的漏洞 CVE-2021-3450 則與 X509_V_FLAG_X509_STRICT 標(biāo)志有關(guān)。

OpenSSL 使用此標(biāo)志來禁止對損壞的證書使用替代方法，并嚴(yán)格要求根據(jù) X509 規(guī)則對證書進(jìn)行驗(yàn)證。然而，由于一個(gè)回歸錯(cuò)誤，OpenSSL 1.1.1h 及以上版本(但不包括修復(fù)后的 1.1.1k 版本)都會(huì)受到這個(gè)漏洞的影響，因?yàn)樵谶@些版本中這個(gè)標(biāo)志并沒有被默認(rèn)設(shè)置。

該公告指出，"從 OpenSSL 1.1.1h 版本開始增加了一項(xiàng)檢查，以禁止在鏈中顯式編碼 elliptic curve 參數(shù)的證書，這是附加的嚴(yán)格檢查。但是，這項(xiàng)檢查的實(shí)現(xiàn)中出現(xiàn)了一個(gè)錯(cuò)誤，意味著之前確認(rèn)鏈中證書是有效 CA 證書的檢查結(jié)果被覆蓋了"。

目前上述這兩個(gè)漏洞都不會(huì)影響 OpenSSL 1.0.2，并且這兩個(gè)漏洞都在 OpenSSL 1.1.1k 中得到了修復(fù)，官方建議用戶升級到這個(gè)版本以保護(hù)他們的實(shí)例。

本文地址：https://www.oschina.net/news/134860/openssl-fixes-severe-dos-vulnerabilities

網(wǎng)頁題目：OpenSSL修復(fù)了嚴(yán)重的DoS和證書驗(yàn)證漏洞
鏈接地址：http://muchs.cn/news/201096.html

成都網(wǎng)站建設(shè)公司_創(chuàng)新互聯(lián)，為您提供關(guān)鍵詞優(yōu)化、建站公司、手機(jī)網(wǎng)站建設(shè)、外貿(mào)網(wǎng)站建設(shè)、ChatGPT、App開發(fā)

廣告

聲明：本網(wǎng)站發(fā)布的內(nèi)容（圖片、視頻和文字）以用戶投稿、用戶轉(zhuǎn)載內(nèi)容為主，如果涉及侵權(quán)請盡快告知，我們將會(huì)在第一時(shí)間刪除。文章觀點(diǎn)不代表本網(wǎng)站立場，如需處理請聯(lián)系客服。電話：028-86922220；郵箱：631063699@qq.com。內(nèi)容未經(jīng)允許不得轉(zhuǎn)載，或轉(zhuǎn)載時(shí)需注明來源： 創(chuàng)新互聯(lián)