CVE-2020-1971 | OpenSSL拒绝服务漏洞通告
发布时间 2020-12-090x00 漏洞概述
CVE ID | CVE-2020-1971 | 时 间 | 2020-12-09 |
类 型 | 拒绝服务 | 等 级 | 高危 |
远程利用 | 是 | 影响范围 | OpenSSL 1.1.1 - 1.1.1h OpenSSL 1.0.2 - 1.0.2w |
0x01 漏洞详情
OpenSSL是一个开放源代码的软件库包,应用程序可以使它来进行安全通信,以避免被窃听,同时它能够确认另一端连接者的身份,被广泛被应用在互联网的网页服务器上。
2020年12月08日,OpenSSL官方发布安全公告,OpenSSL 中存在一个拒绝服务漏洞(CVE-2020-1971)。
当OpenSSL 使用的GENERAL_NAME_cmp函数和GENERAL_NAME 函数都包含一个EDIPARTYNAME时,由于GENERAL_NAME_cmp函数未能正确处理,将导致空指针引用。攻击者可以通过构造格式错误的EDIPARTYNAME来利用此漏洞,OpenSSL的解析器将接受该格式,最终可能导致拒绝服务。
OpenSSL使用的GENERAL_NAME_cmp函数有两个作用:
比较可用的CRL和嵌入在X509证书中的CRL分发点之间的CRL分发点名称;
验证时间戳响应令牌签名者是否与时间戳授权名称匹配(通过API函数TS_RESP_verify_response和TS_RESP_verify_token)。
0x02 处置建议
目前OpenSSL已经修复了此漏洞,建议升级至最新版本。
OpenSSL 1.1.1i
OpenSSL 1.0.2x
(注:自2020年1月1日起,OpenSSL 1.0.2不再受支持,并且官方不再接收更新,建议升级至OpenSSL 1.1.1i)
下载链接:
https://www.openssl.org/source/openssl-1.1.1i.tar.gz
0x03 参考链接
https://www.openssl.org/news/vulnerabilities-1.1.1.html#CVE-2020-1971
https://www.openssl.org/news/vulnerabilities-1.0.2.html#CVE-2020-1971
https://www.openssl.org/source/
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-1971
0x04 时间线
2020-12-08 OpenSSL发布安全公告
2020-12-09 VSRC发布安全通告
0x05 附录
CVSS评分标准官网:http://www.first.org/cvss/