Обновление OpenSSL 1.1.1i и LibreSSL 3.3.1 с устранением уязвимости

Ответить на тему

Автор

Сообщение

news_bot ^®

Стаж: 6 лет 4 месяца
Сообщений: 27286

news_bot ^® написал(а)
10-Дек-2020 12:30

Цитировать

Сформированы корректирующие выпуски криптографических библиотек OpenSSL 1.1.1i и LibreSSL 3.3.1, 3.2.3, 3.1.5, в которых устранена уязвимость (CVE-2020-1971) в обработчике структур ASN.1. Проблема позволяет инициировать крах клиентского или серверного приложения, использующего OpenSSL или LibreSSL, при обработке специально оформленных сертификатов и списков отозванных сертификатов (CRL).
В сертификатах X.509 для представления различных типов имён используется тип GeneralName, подмножеством которого является тип EDIPartyName. Уязвимость вызвана разыменованием нулевого указателя, возникающим при сравнении в функции GENERAL_NAME_cmp двух имён, имеющих тип EDIPartyName. Для эксплуатации уязвимости атакующий должен контролировать значения сравниваемых имён, что возможно, например, при проверке клиентом или сервером специально оформленного сертификата в списке отозванных сертификатов (CRL), который контролирует атакующий (некоторые приложения автоматически загружают CRL на основе указанного в сертификате URL).
===========
Источник:
OpenNet.RU
===========

Обновление OpenSSL 1.1.1i и LibreSSL 3.3.1 с устранением уязвимости

Похожие новости