OpenSSL拒絕服務(wù)漏洞安全風(fēng)險通告
發(fā)布日期：2020-12-16
?
漏洞描述
OpenSSL是一個開放源代碼的軟件庫包，應(yīng)用程序可以使用這個包來進行安全通信，避免竊聽，同時確認(rèn)另一端連接者的身份。這個包廣泛被應(yīng)用在互聯(lián)網(wǎng)的網(wǎng)頁服務(wù)器上。2020年12月08日，OpenSSL官方發(fā)布安全公告，披露CVE-2020-1971 OpenSSL GENERAL_NAME_cmp 拒絕服務(wù)漏洞。當(dāng)兩個GENERAL_NAME都包含同一個EDIPARTYNAME時，由于GENERAL_NAME_cmp函數(shù)未能正確處理，從而導(dǎo)致空指針引用，并可能導(dǎo)致拒絕服務(wù)。禹宏信安提醒OpenSSL用戶盡快采取安全措施阻止漏洞攻擊。
漏洞編號
CVE-2020-1971
漏洞危害
當(dāng)兩個GENERAL_NAME都包含同一個EDIPARTYNAME時，由于GENERAL_NAME_cmp函數(shù)未能正確處理，從而導(dǎo)致空指針引用，并可能導(dǎo)致拒絕服務(wù)。
漏洞等級
高危
受影響版本
OpenSSL 1.1.1 ～ 1.1.1h
OpenSSL 1.0.2 ～ 1.0.2w
修復(fù)方案
目前官方已發(fā)布新版本修復(fù)了此漏洞，請受影響的用戶盡快升級至對應(yīng)的新版本進行防護。
參考鏈接
- https://www.openssl.org/news/vulnerabilities-1.1.1.html#CVE-2020-1971
- https://www.openssl.org/news/vulnerabilities-1.0.2.html#CVE-2020-1971