OpenSSL 修复了严重的 DoS 和证书验证漏洞
OpenSSL 是一个常用的软件库,用于构建需要建立安全通信的网络应用和服务器。近日,OpenSSL 项目针对潜伏在 OpenSSL 产品中的两个高危漏洞 CVE-2021-3449 和 CVE-2021-3450 发布了公告。 这两个漏洞包括: CVE-2021-3449:由于 NULL 指针取消引用而导致的拒绝服务(DoS)漏洞,只影响 OpenSSL 服务器实例,而不影响客户端。 CVE-2021-3450:不正确的 CA 证书验证漏洞,同时影响服务器和客户端实例。 单行代码即可修复 DoS 漏洞 如果在重新协商的过程中,客户端发送了一个恶意的 ClientHello 消息,OpenSSL TLS 服务器中的 DoS 漏洞(CVE-2021-3449)就会导致服务器崩溃。 公告指出,"如果 TLSv1.2 重新协商的 ClientHello 省略了 signature_algorithms 扩展(在初始的 ClientHello 中存在),但包含了 signature_algorithms_cert 扩展,那么就会导致 NULL 指针取消引用,从而导致崩溃和拒绝服务攻击。" 该漏...
