OpenSSL 通告两个高危漏洞，可绕过证书安全校验

OpenSSL 发布安全公告披露两个刚发现的高危漏洞，思科表示这些漏洞已经影响了思科的产品，思科正在调查产品线确定影响的范围和程度。截至目前，NVD 尚未给出漏洞的 CVSS 评分，在 OpenSSL 官方安全公告中这两个漏洞的严重程度评级为 High（高）。

CVE-2021-3449

2021 年 3 月 17 日，诺基亚的安全研究员向 OpenSLL 报告了该漏洞。由于 TLSv1.2 在重新协商 ClientHello 时，忽略 signature_algorithms 扩展但实际带有 signature_algorithms 扩展就会产生空指针解引用，攻击者构造重新协商的 ClientHello 就会导致 OpenSSL TLS 服务器崩溃或拒绝服务（TLSv1.2 默认启用重新协商）。

• 所有 OpenSSL 1.1.1 版本都存在此问题，建议尽快升级到 OpenSSL 1.1.1k

• 尽管 OpenSSL 1.0.2 并不受影响，但该版本已经停止更新不再被支持，同样建议尽快升级

• 不再受到支持的 OpenSSL 1.1.0 并未评估是否受到影响，用户应该升级到最新的 OpenSSL 1.1.1

CVE-2021-3450

• OpenSSL 1.1.1h 与以后的版本都存在此问题，建议尽快升级到 OpenSSL 1.1.1k
• OpenSSL 1.0.2 并不受影响，但该版本已经停止更新不再被支持，同样建议尽快升级

• OpenSSL OpenSSL 1.1.1h
• OpenSSL OpenSSL 1.1.1i
• OpenSSL OpenSSL 1.1.1j

OpenSSL 官方安全通告

​https://www.openssl.org/news/secadv/20210325.txt

NVD CVE-2021-3449

https://nvd.nist.gov/vuln/detail/CVE-2021-3449

NVD CVE-2021-3450

https://nvd.nist.gov/vuln/detail/CVE-2021-3450

CVE-2021-3449

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-3449

CVE-2021-3450

​https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-3450

原文始发于微信公众号（威胁棱镜）：【漏洞预警】OpenSSL 通告两个高危漏洞，可绕过证书安全校验