CVE-2021-4044

ملخص

داخل libssl في OpenSSL، يتم استدعاء الدالة X509_verify_cert() من جانب العميل للتحقق من شهادة مقدَّمة من الخادم. قد تُرجع هذه الدالة قيمة سالبة للإشارة إلى خطأ داخلي (مثل نفاد الذاكرة). يتم التعامل مع هذه القيمة السالبة بشكل غير صحيح في OpenSSL، مما يؤدي إلى عدم إشارة دالة إدخال/إخراج (مثل SSL_connect() أو SSL_do_handshake()) إلى النجاح، ثم يُرجع استدعاء لاحق للدالة SSL_get_error() القيمة SSL_ERROR_WANT_RETRY_VERIFY. من المفترض أن تُرجع OpenSSL هذه القيمة فقط إذا كان التطبيق قد استدعى مسبقًا SSL_CTX_set_cert_verify_callback(). نظرًا لأن معظم التطبيقات لا تفعل ذلك، فإن القيمة المُرجعة SSL_ERROR_WANT_RETRY_VERIFY من SSL_get_error() ستكون غير متوقعة تمامًا، وقد لا تتصرف التطبيقات بشكل صحيح نتيجة لذلك. يعتمد السلوك الدقيق على التطبيق، لكنه قد يؤدي إلى أعطال أو حلقات لا نهائية أو استجابات غير صحيحة مماثلة أخرى. تتفاقم خطورة هذه المشكلة عند دمجها مع خطأ منفصل في OpenSSL 3.0 يتسبب في إشارة X509_verify_cert() إلى خطأ داخلي عند معالجة سلسلة شهادات. يحدث هذا عندما لا تتضمن الشهادة امتداد Subject Alternative Name ولكن تكون سلطة التصديق (Certificate Authority) قد فرضت قيودًا على الأسماء. يمكن أن تحدث هذه المشكلة حتى مع سلاسل شهادات صالحة. من خلال الجمع بين المشكلتين، يمكن للمهاجم إحداث سلوك غير صحيح يعتمد على التطبيق. تم إصلاح المشكلة في OpenSSL 3.0.1 (المتأثرة: 3.0.0).

• CVE-2021-4044الكشف

  نص برمجي بلغة بايثون للتحقق من إصدار OpenSSL بحثًا عن ثغرة CVE-2021-4044 واختبار اتصالات SSL/TLS بالمواقع التي يحددها المستخدم، مع معالجة الأخطاء وإعداد التقارير.