De OpenSSL-project uitgegeven a beveiligingsadvies op 25 maart 2021 met details over twee zeer ernstige kwetsbaarheden:
CA-certificaatcontrole omzeilen met X509_V_FLAG_X509_STRICT (CVE-2021-3450)
Overzicht: Een fout bij de implementatie van beveiligingscontroles die zijn ingeschakeld door het X509_V_FLAG_X509_STRICT vlag “betekende dat het resultaat van een eerdere controle om te bevestigen dat certificaten in de keten geldige CA-certificaten zijn, is overschreven. Hiermee wordt de controle omzeild dat niet-CA-certificaten geen andere certificaten mogen uitgeven. "
Dit probleem is alleen van invloed op toepassingen die expliciet de X509_V_FLAG_X509_STRICT vlag (niet standaard ingesteld) en “ofwel geen doel instellen voor de certificaatverificatie of, in het geval van TLS client- of servertoepassingen, overschrijven het standaarddoel. "
Deze kwetsbaarheid treft OpenSSL-versies 1.1.1h en nieuwer, en gebruikers van deze versies moeten upgraden naar versie 1.1.1k.
NULL-aanwijzer deref in verwerking van handtekeningalgoritmen (CVE-2021-3449)
Overzicht: Door deze kwetsbaarheid kan een aanvaller een OpenSSL laten crashen TLS server door een kwaadwillig vervaardigd ClientHello-bericht te verzenden: “Als een TLSv1.2 heronderhandeling ClientHello laat de extensie signature_algorithms weg (waar deze aanwezig was in de oorspronkelijke ClientHello), maar bevat een extensie signature_algorithms_cert, waarna een NULL pointer-dereferentie zal resulteren, wat leidt tot een crash en een denial of service-aanval. "
Een server is kwetsbaar als dat het geval is TLSv1.2 en heronderhandeling ingeschakeld, de standaardconfiguratie. Alles OpenSSL 1.1.1-versies hebben last van dit probleem en gebruikers van deze versies moeten upgraden naar versie 1.1.1k.
