Обновление OpenSSL 1.0.2k и 1.1.0d с устранением уязвимостей

26.01.2017 19:42

Доступны корректирующие выпуски криптографической библиотеки OpenSSL 1.0.2k и 1.1.0d, в которых устранены 4 уязвимости, трём из которых присвоен умеренный уровень опасности, а одной - низкий.

  • CVE-2017-3731 - позволяют инициировать крах серверного или клиентского SSL/TLS-приложения на 32-разрядных системах (чтение из области за пределами буфера) при приёме повреждённого пакета. В ветке OpenSSL 1.1.0 проблема проявляется при использовании алгоритмов CHACHA20/POLY1305, а в Openssl 1.0.2 - RC4-MD5;
  • CVE-2017-3730 - может привести к краху клиентского приложения (разыменование нулевого указателя) при передаче сервером некорректных параметров при обмене ключами по протоколам DHE или ECDHE;
  • CVE-2017-3732 - BN_mod_exp может вернуть некорректный результат на платформе x86_64, атака отнесена к категории труднореализуемых и маловероятных.