CVE-2020-1971 | OpenSSL拒绝服务漏洞通告

发布时间 2020-12-09


0x00 漏洞概述

CVE   ID

CVE-2020-1971

时      间

2020-12-09

类     型

拒绝服务

等      级

高危

远程利用

影响范围

OpenSSL 1.1.1 - 1.1.1h

OpenSSL 1.0.2 - 1.0.2w

 

0x01 漏洞详情

 

image.png

OpenSSL是一个开放源代码的App库包,应用程序可以使它来进行安全通信,以避免被窃听,同时它能够确认另一端连接者的身份,被广泛被应用在互联网的网页服务器上。

2020年12月08日,OpenSSL官方发布安全公告,OpenSSL 中存在一个拒绝服务漏洞(CVE-2020-1971)。

当OpenSSL 使用的GENERAL_NAME_cmp函数和GENERAL_NAME 函数都包含一个EDIPARTYNAME时,由于GENERAL_NAME_cmp函数未能正确处理,将导致空指针引用。攻击者可以通过构造格式错误的EDIPARTYNAME来利用此漏洞,OpenSSL的解析器将接受该格式,最终可能导致拒绝服务。

OpenSSL使用的GENERAL_NAME_cmp函数有两个作用:

比较可用的CRL和嵌入在X509证书中的CRL分发点之间的CRL分发点名称;

验证时间戳响应令牌签名者是否与时间戳授权名称匹配(通过API函数TS_RESP_verify_response和TS_RESP_verify_token)。

 

0x02 处置建议

目前OpenSSL已经修复了此漏洞,建议升级至最新版本。

OpenSSL 1.1.1i

OpenSSL 1.0.2x

(注:自2020年1月1日起,OpenSSL 1.0.2不再受支撑,并且官方不再接收更新,建议升级至OpenSSL 1.1.1i)

 

下载链接:

https://www.openssl.org/source/openssl-1.1.1i.tar.gz

 

0x03 参考链接

https://www.openssl.org/news/vulnerabilities-1.1.1.html#CVE-2020-1971

https://www.openssl.org/news/vulnerabilities-1.0.2.html#CVE-2020-1971

https://www.openssl.org/source/

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-1971

 

0x04 时间线

2020-12-08  OpenSSL发布安全公告

2020-12-09  VSRC发布安全通告

 

0x05 附录

 

CVSS评分标准官网:http://www.first.org/cvss/


 

image.png