OpenSSL phát hành phiên bản 1.1.1k vá hai lỗ hổng có mức nghiêm trọng cao

[WhiteHat News #ID:0911]

OpenSSL vừa phát hành phiên bản 1.1.1k, vá hai lỗ hổng có mức độ nghiêm trọng cao. Trong đó, một lỗi liên quan đến xác minh chuỗi chứng thực và một lỗ hổng có thể dẫn đến lỗi máy chủ.

CVE-2021-3450 là lỗi xác minh chuỗi chứng thực khi sử dụng cờ X509_V_FLAG_X509_STRICT. Lỗ hổng được các nhà nghiên cứu tại Akamai phát hiện.
“Bắt đầu từ phiên bản OpenSSL 1.1.1h, nhà cung cấp bổ sung công cụ kiểm tra để chặn các chứng thực trong chuỗi có các tham số đường cong elliptic được mã hóa rõ ràng. Lỗi trong quá trình thực thi khiến kết quả kiểm tra xác nhận một chứng chỉ là chứng chỉ CA hợp lệ mặc dù đã bị ghi đè. Dẫn đến bỏ qua bước kiểm tra các chứng thực không CA không thể cấp các chứng thực khác”, OpenSSL giải thích.
Lỗ hổng CVE-2021-3449, do Nokia phát hiện, liên quan đến tin nhắn ClientHello. Lỗ hổng có thể bị khai thác để thực hiện các cuộc tấn công từ chối dịch vụ (DoS).
Nếu tin nhắn ClientHello TLSv1.2 bỏ đi phần mở rộng signature algorithm (có trong ClientHello ban đầu), nhưng lại bổ sung phần mở rộng signature_algorithm_cert, gây ra trạng thái NULL pointer deference (truy cập vào vùng nhớ trong khi giá trị của con trỏ là rỗng), dẫn đến sự cố crash và tấn công từ chối dịch vụ.
Máy chủ chạy OpenSSL 1.1.1 bị ảnh hưởng bởi CVE-2021-3449 nếu bật TLS 1.2 và bật cấu hình mặc định renegotiation.

Nguồn: Security Week​