CVE-2020-1971 | OpenSSL回绝服务缝隙公告
颁布功夫 2020-12-090x00 缝隙概述
CVE ID | CVE-2020-1971 | 时 间 | 2020-12-09 |
类 型 | 回绝服务 | 等 级 | 高危 |
远程利用 | 是 | 影响领域 | OpenSSL 1.1.1 - 1.1.1h OpenSSL 1.0.2 - 1.0.2w |
0x01 缝隙详情
OpenSSL是一个盛开源代码的软件库包，利用法式能够使它来进行安全通讯，以预防被窃听，同时它可能确认另一端衔接者的身份，被宽泛被利用在互联网的网页服务器上。
2020年12月08日，OpenSSL官方颁布安全布告，OpenSSL 中存在一个回绝服务缝隙（CVE-2020-1971）。
当OpenSSL 使用的GENERAL_NAME_cmp函数和GENERAL_NAME 函数都蕴含一个EDIPARTYNAME时，由于GENERAL_NAME_cmp函数未能正确处置，将导致空指针引用。攻击者能够通过机关体式谬误的EDIPARTYNAME来利用此缝隙，OpenSSL的解析器将接受该体式，最终可能导致回绝服务。
OpenSSL使用的GENERAL_NAME_cmp函数有两个作用：
比力可用的CRL和嵌入在X509证书中的CRL分发点之间的CRL分发点名称；
验证功夫戳响应令牌署名者是否与功夫戳授权名称匹配（通过API函数TS_RESP_verify_response和TS_RESP_verify_token）。
0x02 措置建议
目前OpenSSL已经建复了此缝隙，建议升级至最新版本。
OpenSSL 1.1.1i
OpenSSL 1.0.2x
（注：自2020年1月1日起，OpenSSL 1.0.2不再受支持，并且官方不再接管更新，建议升级至OpenSSL 1.1.1i）
下载链接：
https://www.openssl.org/source/openssl-1.1.1i.tar.gz
0x03 参考链接
https://www.openssl.org/news/vulnerabilities-1.1.1.html#CVE-2020-1971
https://www.openssl.org/news/vulnerabilities-1.0.2.html#CVE-2020-1971
https://www.openssl.org/source/
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-1971
0x04 功夫线
2020-12-08 OpenSSL颁布安全布告
2020-12-09 VSRC颁布安全公告
0x05 附录
CVSS评分尺度官网：http://www.first.org/cvss/
京公网安备11010802024551号