Викиновости

Опубликован OpenSSL 1.1.1g с устранением уязвимости, связанной с TLS 1.3

21 апреля 2020 года

Доступен корректирующий выпуск криптографической библиотеки OpenSSL 1.1.1g, в котором устранена уязвимость ( CVE-2020-1967), приводящая к отказу в обслуживании при попытке согласовать соединение TLS 1.3 с подконтрольным злоумышленнику сервером или клиентом. Уязвимости присвоен высокий уровень опасности, так как она может использоваться для инициирования краха различных серверных приложений, собранных с OpenSSL.

Проблема проявляется только в приложениях, использующих функцию SSL_check_chain(), и приводит к краху процесса при некорректном использовании TLS-расширения "signature_algorithms_cert". В частности, при получении в процессе согласования соединения неподдерживаемого или неверного значения алгоритма обработки цифровых подписей возникает разыменование нулевого указателя и крах процесса. Проблема проявляется начиная с выпуска OpenSSL 1.1.1d.

Примечательно, что уязвимость была найдена при тестировании экспериментального режима статического анализа "-fanalyzer", предложенного в ветке GCC 10, первый стабильный релиз которой ожидается в начале мая. Указанный режим выполняет ресурсоёмкий межпроцедурный анализ путей выполнения кода и потоков данных в программе. Режим способен выявлять такие проблемы, как двойной вызов функции free() для одной области памяти, утечки файловых дескрипторов, разыменование и передачу нулевых указателей, обращение к освобождённым блокам памяти, использование неинициализированных значений и т.п.

Источники

править


 
 
Creative Commons
Эта статья содержит материалы из статьи «Опубликован OpenSSL 1.1.1g с устранением уязвимости, связанной с TLS 1.3», опубликованной OpenNET и распространяющейся на условиях лицензии Creative Commons Attribution (CC BY) — указание автора, источник и лицензию.
 
Эта статья загружена автоматически ботом NewsBots в архив и ещё не проверялась редакторами Викиновостей.
Любой участник может оформить статью: добавить иллюстрации, викифицировать, заполнить шаблоны и добавить категории.
Любой редактор может снять этот шаблон после оформления и проверки.

Комментарии

Викиновости и Wikimedia Foundation не несут ответственности за любые материалы и точки зрения, находящиеся на странице и в разделе комментариев.



Источник — https://ru.wikinews.org/w/index.php?title=Опубликован_OpenSSL_1.1.1g_с_устранением_уязвимости,_связанной_с_TLS_1.3&oldid=9583690