OpenSSL CA证书绕过漏洞 (CVE-2021-3450) 安全通告

editor • 2021-03-26 14:35 • 创新技术 • 阅读 1128

0x00 漏洞概述

CVE ID	CVE-2021-3450	时间	2021-03-26
类型		等级	高危
远程利用	是	影响范围
PoC/EXP	未公开	在野利用

0x01 漏洞详情

OpenSSL是一个开放源代码的软件库包，应用程序可以使用这个包来进行安全通信，避免窃听，同时确认另一端连接者的身份，它被广泛应用在互联网的网页服务器上。

2021年03月25日，OpenSSL项目发布安全公告，公开了OpenSSL产品中的一个拒绝服务漏洞和一个证书验证绕过漏洞（CVE-2021-3449和CVE-2021-3450）。

OpenSSL 拒绝服务漏洞（CVE-2021-3449）

该漏洞是由于NULL指针取消引用导致的拒绝服务(DoS)漏洞，仅影响OpenSSL服务器实例，而不影响客户端。

如果从客户端发送了恶意的重新协商ClientHello消息，则OpenSSL TLS服务器可能会崩溃。如果TLSv1.2重新协商ClientHello省略了signature_algorithms扩展名（在最初的ClientHello中存在），但包括了signature_algorithms_cert扩展名，则将导致NULL指针取消引用，从而导致崩溃和拒绝服务攻击。

以下是GitHub上对该漏洞的修复：

影响范围

运行带有TLS 1.2并启用了重新协商（默认配置）的OpenSSL 1.1.1

OpenSSL CA证书验证绕过漏洞（CVE-2021-3450）

该漏洞是证书颁发机构（CA）证书验证绕过漏洞，影响服务器和客户端实例。

X509_V_FLAG_X509_STRICT标志可对证书链中存在的证书进行其它安全检查，默认情况下未设置。从OpenSSL版本1.1.1h开始，添加了一项检查以禁止在链中显式编码椭圆曲线参数的证书，这是附加的严格检查。执行此检查时出现一个错误，这意味着先前检查的结果会被覆盖，该检查用于确认链中的证书是有效的CA证书。

影响范围

OpenSSL 1.1.1h及更高版本

此外，今年2月，OpenSSL 项目也发布了安全更新，修复了OpenSSL中的2个拒绝服务（DoS）漏洞和1个不正确的SSLv2回滚保护漏洞。