CVE-2021-4044

Résumé

# Vulnérabilité dans OpenSSL En interne, libssl dans OpenSSL appelle `X509_verify_cert()` côté client pour vérifier un certificat fourni par un serveur. Cette fonction peut renvoyer une valeur de retour négative pour indiquer une erreur interne (par exemple, un manque de mémoire). Une telle valeur de retour négative est mal gérée par OpenSSL et entraînera une fonction d'E/S (telle que `SSL_connect()` ou `SSL_do_handshake()`) à ne pas indiquer de succès, et un appel ultérieur à `SSL_get_error()` renverra la valeur `SSL_ERROR_WANT_RETRY_VERIFY`. Cette valeur de retour ne devrait être renvoyée par OpenSSL que si l'application a préalablement appelé `SSL_CTX_set_cert_verify_callback()`. Comme la plupart des applications ne le font pas, la valeur de retour `SSL_ERROR_WANT_RETRY_VERIFY` de `SSL_get_error()` sera totalement inattendue et les applications peuvent ne pas se comporter correctement en conséquence. Le comportement exact dépendra de l'application, mais cela pourrait entraîner des plantages, des boucles infinies ou d'autres réponses incorrectes similaires. Ce problème devient plus grave lorsqu'il est combiné à un autre bug distinct dans OpenSSL 3.0 qui amènera `X509_verify_cert()` à indiquer une erreur interne lors du traitement d'une chaîne de certificats. Cela se produira lorsqu'un certificat n'inclut pas l'extension Subject Alternative Name mais qu'une autorité de certification a imposé des contraintes de nom. Ce problème peut survenir même avec des chaînes valides. En combinant les deux problèmes, un attaquant pourrait induire un comportement incorrect et dépendant de l'application. Corrigé dans OpenSSL 3.0.1 (Affecté 3.0.0).

• CVE-2021-4044Détection

  Script Python pour vérifier la version d'OpenSSL pour la vulnérabilité CVE-2021-4044 et tester les connexions SSL/TLS à des sites web spécifiés par l'utilisateur, avec gestion des erreurs et génération de rapports.