Разыменование нулевого указателя

Средняя (4.3)

(AV:N/AC:M/Au:N/C:N/I:N/A:P)

OpenSSL Project

OpenSSL (1.1.1, 1.1.1k)

Уязвимость позволяет злоумышленникам вызвать аварийное завершение работы TLS-сервера OpenSSL, отправив серверу специально сформированное сообщение повторного согласования ClientHello. Если при повторном согласовании отсутствует расширение signature_algorithms (которое было в первоначальном ClientHello), но присутствует расширение signature_algorithms_cert, то произойдет разыменование нулевого указателя, которое приведет к аварийному завершению работы и отказу в обслуживании. Сервер является уязвимым, только если использует TLSv1.2 и функцию повторного согласования (которая включена по умолчанию). Уязвимость отсутствует в TLS-клиентах OpenSSL.

Для устранения уязвимости необходимо установить последнюю версию продукта, соответствующую используемой платформе. Необходимую информацию можно получить по адресу:
https://www.openssl.org/

Источник: CVE
Наименование: CVE-2021-3449
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-3449

https://www.openssl.org/news/secadv/20210325.txt