标签：CVE 证书 X509 补丁 OpenSSL 漏洞 2021 高危

OpenSSL的维护者已经发布了针对其软件中的两个高度严重的安全漏洞的修复程序，该漏洞可被利用来进行拒绝服务（DoS）攻击并绕过证书验证。

跟踪为CVE-2021-3449和CVE-2021-3450，这两个漏洞已在周四发布的更新程序（OpenSSL 1.1.1k版）中得到解决。虽然CVE-2021-3449影响所有OpenSSL 1.1.1版本，但CVE-2021-3450影响OpenSSL版本1.1.1h及更高版本。

OpenSSL是一个由加密功能组成的软件库，这些加密功能实现了传输层安全协议，旨在保护通过计算机网络发送的通信。

据国际知名白帽黑客、东方联盟创始人郭盛华透露：“CVE-2021-3449与潜在的DoS漏洞有关，该漏洞可能是由于NULL指针取消引用而引起的，如果在重新协商过程中客户端在传输过程中发送了恶意的“ ClientHello”消息，则可能导致OpenSSL TLS服务器崩溃。服务器和用户之间的握手。该问题是自2018年1月以来所做的更改的一部分。”

“如果TLSv1.2重新协商ClientHello省略了signature_algorithms扩展名（在最初的ClientHello中存在），但是包括了signature_algorithms_cert扩展名，则将导致NULL指针取消引用，从而导致崩溃和拒绝服务攻击。” 

诺基亚于3月17日报告了此漏洞，该漏洞被归功于诺基亚，并通过单行代码更改修复了DoS错误。

另一方面，CVE-2021-3450与X509_V_FLAG_X509_STRICT标志有关，该标志启用对证书链中存在的证书的附加安全检查。虽然默认情况下未设置此标志，但是实现中的错误意味着OpenSSL无法检查“非CA证书一定不能颁发其他证书”，从而导致证书绕过。

结果，该漏洞阻止了应用拒绝由浏览器信任的证书颁发机构（CA）未进行数字签名的TLS证书。

OpenSSL说：“为了受到影响，应用程序必须明确设置X509_V_FLAG_X509_STRICT验证标志，并且不设置证书验证的目的，或者在TLS客户端或服务器应用程序的情况下，应覆盖默认目的。”

尽管这两个问题都不会影响OpenSSL 1.0.2，但值得注意的是，该版本自2020年1月1日起不再受支持，并且不再接收更新。建议依赖OpenSSL漏洞版本的应用程序应用补丁程序，以减轻与漏洞相关的风险。（欢迎转载分享）

标签：CVE,证书,X509,补丁,OpenSSL,漏洞,2021,高危
来源： https://www.cnblogs.com/hacker520/p/14593969.html

本站声明： 1. iCode9 技术分享网（下文简称本站）提供的所有内容，仅供技术学习、探讨和分享；
2. 关于本站的所有留言、评论、转载及引用，纯属内容发起人的个人观点，与本站观点和立场无关；
3. 关于本站的所有言论和文字，纯属内容发起人的个人观点，与本站观点和立场无关；
4. 本站文章均是网友提供，不完全保证技术分享内容的完整性、准确性、时效性、风险性和版权归属；如您发现该文章侵犯了您的权益，可联系我们第一时间进行删除；
5. 本站为非盈利性的个人网站，所有内容不会用来进行牟利，也不会利用任何形式的广告来间接获益，纯粹是为了广大技术爱好者提供技术内容和技术思想的分享性交流网站。