OpenSSL 高危漏洞可用于中间人攻击

研究人员在 OpenSSL 中发现了一个高危漏洞CVE-2024-12797，影响传统X.509证书替代方法原始公钥 (RPKs) 的实现。

该漏洞可导致攻击者通过模拟服务器的方式执行中间人攻击。OpenSSL 在安全公告中解释称，“使用 RFC7250 RPKs 的客户端认证服务器，可能未能注意到该服务器并未进行认证，因为当设置SSL_VERIFY_PEER 验证模式时，握手并未像预期那样中止。”

OpenSSL 默认禁用RPKs，因此该漏洞进影响明确启用该特性的用户。然而，对于确实使用RPKs的用户而言，成功攻击可能造成严重影响，可能导致数据泄露和越权访问后果。

该漏洞影响 OpenSSL 3.4、3.3和3.2版本。OpenSSL已发布更新版本修复该漏洞。上述受影响用户应分别升级至OpenSSL 3.4.1、3.3.2和3.2.4版本。值得注意的是，该漏洞并不影响OpenSSL 任何版本中的FIPS模块，也不影响 OpenSSL 3.1、3.0、1.1.1和1.0.2。

该漏洞是由苹果公司在2024年12月18日报送的。OpenSSL 督促启用 RPKs 的所有用户尽快更新系统，缓解利用风险。