0x00 漏洞概述
CVE ID |
CVE-2021-3450 |
时 间 |
2021-03-26 |
类 型 |
等 级 |
高危 |
|
远程利用 |
是 |
影响范围 |
|
PoC/EXP |
未公开 |
在野利用 |
0x01 漏洞详情
OpenSSL是一个开放源代码的软件库包,应用程序可以使用这个包来进行安全通信,避免窃听,同时确认另一端连接者的身份,它被广泛应用在互联网的网页服务器上。
2021年03月25日,OpenSSL项目发布安全公告,公开了OpenSSL产品中的一个拒绝服务漏洞和一个证书验证绕过漏洞(CVE-2021-3449和CVE-2021-3450)。
OpenSSL 拒绝服务漏洞(CVE-2021-3449)
该漏洞是由于NULL指针取消引用导致的拒绝服务(DoS)漏洞,仅影响OpenSSL服务器实例,而不影响客户端。
如果从客户端发送了恶意的重新协商ClientHello消息,则OpenSSL TLS服务器可能会崩溃。如果TLSv1.2重新协商ClientHello省略了signature_algorithms扩展名(在最初的ClientHello中存在),但包括了signature_algorithms_cert扩展名,则将导致NULL指针取消引用,从而导致崩溃和拒绝服务攻击。
以下是GitHub上对该漏洞的修复:
影响范围
运行带有TLS 1.2并启用了重新协商(默认配置)的OpenSSL 1.1.1
OpenSSL CA证书验证绕过漏洞(CVE-2021-3450)
该漏洞是证书颁发机构(CA)证书验证绕过漏洞,影响服务器和客户端实例。
X509_V_FLAG_X509_STRICT标志可对证书链中存在的证书进行其它安全检查,默认情况下未设置。从OpenSSL版本1.1.1h开始,添加了一项检查以禁止在链中显式编码椭圆曲线参数的证书,这是附加的严格检查。执行此检查时出现一个错误,这意味着先前检查的结果会被覆盖,该检查用于确认链中的证书是有效的CA证书。
影响范围
OpenSSL 1.1.1h及更高版本
此外,今年2月,OpenSSL 项目也发布了安全更新,修复了OpenSSL中的2个拒绝服务(DoS)漏洞和1个不正确的SSLv2回滚保护漏洞。
0x02 处置建议
目前官方已修复了这两个漏洞,建议及时更新至OpenSSL 1.1.1k(OpenSSL 1.0.2不受这两个漏洞影响)。
下载链接:
https://openssl.en.softonic.com/
0x03 参考链接
https://www.openssl.org/news/secadv/20210325.txt
https://www.bleepingcomputer.com/news/security/openssl-fixes-severe-dos-certificate-validation-vulnerabilities/
https://securityaffairs.co/wordpress/115968/security/openssl-flaws-2.html?
https://github.com/openssl/openssl/commit/2a40b7bc7b94dd7de897a74571e7024f0cf0d63b
0x04 时间线
2021-03-25 OpenSSL发布安全公告
2021-03-26 VSRC发布安全通告
0x05 附录
CVSS评分标准官网:http://www.first.org/cvss/
声明:本文来自维他命安全,版权归作者所有。文章内容仅代表作者独立观点,不代表士冗科技立场,转载目的在于传递更多信息。如有侵权,请联系 service@expshell.com。