安全公告/【CVE-2021-23841】

基本信息

漏洞描述

OpenSSL 公共 API 函数 X509_issuer_and_serial_hash() 尝试根据 X509 证书中包含的颁发者和序列号数据创建唯一的哈希值。但是，它无法正确处理解析颁发者字段时可能发生的任何错误（如果颁发者字段是恶意构建的，则可能会发生这种情况）。这可能会导致 NULL 指针取消引用和崩溃，从而导致潜在的拒绝服务攻击。OpenSSL 本身永远不会直接调用函数 X509_issuer_and_serial_hash()，因此应用程序只有在直接使用此函数并将其用于可能从不受信任的来源获得的证书时才会受到攻击。OpenSSL 版本 1.1.1i 及以下版本受此问题影响。这些版本的用户应升级到 OpenSSL 1.1.1j。OpenSSL 版本 1.0.2x 及以下版本受此问题影响。但是，OpenSSL 1.0.2 不再受支持，并且不再接收公开更新。 OpenSSL 1.0.2 的高级支持客户应升级至 1.0.2y。其他用户应升级至 1.1.1j。已在 OpenSSL 1.1.1j 中修复（影响 1.1.1-1.1.1i）。已在 OpenSSL 1.0.2y 中修复（影响 1.0.2-1.0.2x）。

漏洞判定

执行命令yum info PackageName获取软件包版本号，版本小于修复版本，则受此漏洞影响，版本大于等于修复版本，则此漏洞已修复

修复方式

软件包升级
dnf update shim

参考

https://www.openssl.org/news/secadv/20210216.txt
https://www.debian.org/security/2021/dsa-4855
https://security.netapp.com/advisory/ntap-20210219-0009/
https://www.tenable.com/security/tns-2021-03
https://security.gentoo.org/glsa/202103-03
https://www.tenable.com/security/tns-2021-09
https://security.netapp.com/advisory/ntap-20210513-0002/
https://support.apple.com/kb/HT212529
https://support.apple.com/kb/HT212528
https://support.apple.com/kb/HT212534
http://seclists.org/fulldisclosure/2021/May/68
http://seclists.org/fulldisclosure/2021/May/67
http://seclists.org/fulldisclosure/2021/May/70
https://www.oracle.com/security-alerts/cpuApr2021.html
https://kb.pulsesecure.net/articles/Pulse_Security_Advisories/SA44846
https://www.oracle.com//security-alerts/cpujul2021.html
https://www.oracle.com/security-alerts/cpuoct2021.html
https://www.oracle.com/security-alerts/cpuapr2022.html
https://cert-portal.siemens.com/productcert/pdf/ssa-637483.pdf
https://git.openssl.org/gitweb/?p=openssl.git%3Ba=commitdiff%3Bh=122a19ab48091c657f7cb1fb3af9fc07bd557bbf
https://git.openssl.org/gitweb/?p=openssl.git%3Ba=commitdiff%3Bh=8252ee4d90f3f2004d3d0aeeed003ad49c9a7807
https://security.netapp.com/advisory/ntap-20240621-0006/