OpenSSL Project 最新高危漏洞(CVE-2021-23841)补丁发布

Andrew 2021-02-18
专栏 - 资讯 发布于 2021-02-18 17:57:56 阅读 401 评论 0

OpenSSL Project发布了安全补丁程序,以解决三个漏洞,两个拒绝服务(DoS)漏洞以及不正确的SSLv2回滚保护问题。

第一个漏洞跟踪为CVE-2021-23841,是一个NULL指针取消引用问题,可以利用该问题导致崩溃并触发DoS条件。该安全公告指出,OpenSSL本身从未直接调用X509_issuer_and_serial_hash函数,这意味着它仅影响在管理从不受信任来源获得的证书时直接调用该函数的应用程序。

“OpenSSL公共API函数X509_issuer_and_serial_hash()尝试根据X509证书中包含的颁发者和序列号数据创建唯一的哈希值。但是,它无法正确处理解析颁发者字段时可能发生的任何错误(如果恶意构造了颁发者字段,则可能会发生)。随后可能会导致NULL指针取消引用和崩溃,从而导致潜在的拒绝服务攻击。” 阅读咨询.

该问题的严重性被评为“中等”,它影响OpenSSL 1.1.1i版及更低版本。用户应升级到版本1.1.1j。OpenSSL 1.0.2x及更低版本也受此问题影响。

该漏洞由著名的Google Project Zero专家Tavis Ormandy于2020年12月15日报告,Matt Caswell修复了此漏洞。

OpenSSL还解决了CipherUpdate中CVE-2021-23840的一个低严重性整数溢出漏洞,该漏洞可能被利用来导致崩溃。

Paul Kehrer识别了此漏洞,追踪为CVE-2021-23840。

“在某些情况下,如果输入长度接近平台上整数的最大允许长度,则调用EVP_CipherUpdate,EVP_EncryptUpdate和EVP_DecryptUpdate可能会使输出长度参数溢出。在这种情况下,函数调用的返回值将为1(表示成功),但输出长度值将为负。这可能导致应用程序行为不正确或崩溃。” 阅读建议。*

1.1.1i及以下版本以及1.0.2x及以下版本均受此问题影响。

第三个问题是严重性很低的漏洞(跟踪为CVE-2021-23839),它是不正确的SSLv2回滚保护。

Trustwave的D.Katz和Joel Luellwitz于2021年1月21日将该漏洞报告给OpenSSL Project。

此问题影响使用OpenSSL 1.0.2的服务器,该服务器容易受到SSL版本回滚攻击。

2010年,Open SSL项目解决了三个漏洞,其中包括两个严重等级为DDoS的问题。

本作品采用《CC 协议》,转载必须注明作者和本文链接
讨论数量: 0
(= ̄ω ̄=)··· 暂无内容!
请勿发布不友善或者负能量的内容。与人为善,比聪明更重要!