В проекте OpenSSL исправлены три опасные уязвимости

Разработчики OpenSSL выпустили исправления для трех уязвимостей в своем проекте, эксплуатация двух из которых позволяет осуществлять атаки типа «отказ в обслуживании» (DoS).

Наиболее опасной проблемой (CVE-2021-23841) является уязвимость разыменования нулевого указателя, которая может привести к сбою и состоянию «отказа в обслуживании». Она связана с функцией (X509_issuer_and_serial_hash), которая никогда не вызывается непосредственно самим OpenSSL и затрагивает только приложения, использующие функцию напрямую с сертификатами, полученными из ненадежных источников.

Исследователь безопасности из Google Project Zero Тэвис Орманди (Tavis Ormandy) сообщил о проблеме, и разработчики OpenSSL исправили ее в версии OpenSSL 1.1.1j. В данной версии также была устранена уязвимость целочисленного переполнения (CVE-2021-23840), которая также может привести к сбою в работе.

Специалисты из компании Trustwave сообщили о другой проблеме (CVE-2021-23839) в проекте OpenSSL — серверы, использующие версию OpenSSL 1.0.2, уязвимы к атакам с откатом версии SSL. Однако атака может быть запущена только против определенных конфигураций, и уязвимость не затрагивает версию OpenSSL 1.1.1. Проблема была исправлена в версии 1.0.2y, однако данная версия OpenSSL больше не поддерживается, поэтому обновление доступно только для клиентов с премиум-поддержкой.