การขอ OpenSSL โครงการออก ที่ปรึกษาด้านความปลอดภัย ในวันที่ 8 ธันวาคม 2020 เตือนผู้ใช้เกี่ยวกับช่องโหว่ที่มีความรุนแรงสูงซึ่งส่งผลกระทบต่อ OpenSSL 1.0.2 และ 1.1.1 ทุกเวอร์ชันก่อนเวอร์ชัน 1.1.1. ช่องโหว่นี้อาจถูกโจมตีโดยผู้โจมตีในการโจมตีแบบปฏิเสธการให้บริการ (DoS):
ประเภท X.509 GeneralName เป็นประเภททั่วไปสำหรับแสดงชื่อประเภทต่างๆ หนึ่งในประเภทชื่อเหล่านั้นเรียกว่า EDIPartyName OpenSSL มีฟังก์ชัน GENERAL_NAME_cmp ซึ่งเปรียบเทียบอินสแตนซ์ต่างๆของ GENERAL_NAME เพื่อดูว่าเท่ากันหรือไม่ ฟังก์ชันนี้ทำงานไม่ถูกต้องเมื่อ GENERAL_NAME ทั้งสองมี EDIPARTYNAME การกำหนดค่าตัวชี้ NULL และความผิดพลาดอาจเกิดขึ้นซึ่งนำไปสู่การโจมตีแบบปฏิเสธบริการที่เป็นไปได้
OpenSSL ใช้ไฟล์ GENERAL_NAME_cmp ฟังก์ชันเมื่อตรวจสอบจุดแจกจ่าย CRL และชื่อหน่วยงานประทับเวลา ตาม OpenSSL ของ ที่ปรึกษา,“ หากผู้โจมตีสามารถควบคุมทั้งสองรายการที่เปรียบเทียบกันได้ผู้โจมตีนั้นอาจทำให้เกิดข้อขัดข้อง ตัวอย่างเช่นหากผู้โจมตีสามารถหลอกให้ไคลเอ็นต์หรือเซิร์ฟเวอร์ตรวจสอบใบรับรองที่เป็นอันตรายกับ CRL ที่เป็นอันตรายสิ่งนี้อาจเกิดขึ้นได้”
ช่องโหว่นี้ได้รับการรายงานไปยัง OpenSSL ในวันที่ 9 พฤศจิกายน 2020 โดย David Benjamin จาก Google การแก้ไขได้รับการพัฒนาโดย Matt Caswell จาก OpenSSL และนำไปใช้ใน โอเพ่น SSL 1.1.1i ในเดือนธันวาคม 8, 2020
ผู้ใช้ OpenSSL มีสองเส้นทางในการใช้การแก้ไขโดยขึ้นอยู่กับเวอร์ชัน OpenSSL และระดับการสนับสนุน:
- ผู้ใช้ OpenSSL 1.1.1 และผู้ใช้ 1.0.2 ที่ไม่รองรับควรอัปเกรดเป็น 1.1.1i
- ลูกค้าที่สนับสนุนระดับพรีเมียมของ OpenSSL 1.0.2 ควรอัปเกรดเป็น 1.0.2x
ปัจจุบัน OpenSSL ได้รับการติดตั้งบนเว็บเซิร์ฟเวอร์ HTTPS ส่วนใหญ่ ตัวอย่างเช่น Apache's mod_ssl โมดูลใช้ไลบรารี OpenSSL เพื่อจัดเตรียม SSL /TLS สนับสนุน
SSL.com ขอให้ผู้ใช้ OpenSSL ทุกคนอัปเดตการติดตั้งโดยเร็วที่สุด หน่วยงานความปลอดภัยทางไซเบอร์และโครงสร้างพื้นฐานของสหรัฐฯ (CISA) ก็มีเช่นกัน สนับสนุนให้ “ ผู้ใช้และผู้ดูแลระบบต้องตรวจสอบไฟล์ คำแนะนำด้านความปลอดภัย OpenSSL และใช้การอัปเดตที่จำเป็น”
