OpenSSL 高危漏洞影響 OpenSSL 1.1.1 的多個版本

OpenSSL 項(xiàng)目發(fā)布安全公告稱存在一個影響 OpenSSL 1.1.1d, 1.1.1e 和 1.1.1f 的高危漏洞 (CVE-2020-1967)，該漏洞可被用于發(fā)起 DoS 攻擊。根據(jù)官方對該漏洞的描述，在 TLS 1.3 握手期間或握手之后調(diào)用 SSL_check_chain() 函數(shù)的服務(wù)器或客戶端應(yīng)用可能會導(dǎo)致崩潰，原因是不正確處理"signature_algorithms_cert" TLS 擴(kuò)展而引起的空指針引用。

如果從另一方接收到一個無效或未被識別的簽名算法，則會發(fā)生崩潰。這可能會被惡意攻擊者利用并發(fā)起 DoS 攻擊。

該漏洞由 Bernd Edlinger 通過 GCC 中的新靜態(tài)分析通道 -fanalyzer 發(fā)現(xiàn)，并已于2020年4月7日向 OpenSSL 報告。

對于受影響的 OpenSSL 1.1.1(1.1.1d，1.1.1e 和 1.1.1f)用戶，建議盡可能快地升級到 1.1.1g。OpenSSL 1.1.1d 之前的版本不受此漏洞影響。

更早的版本如 OpenSSL 1.0.2 和 1.1.0 也均未受影響，不過這些版本都不再被支持，也無法再接受更新。建議使用這些版本的用戶升級至 OpenSSL 1.1.1。