Обход проверки сертификатов

Низкая (0.0)

OpenSSL Project

OpenSSL (1.0.2, 1.0.2zh, 1.1.1, 1.1.1u, 3.0.0, 3.0.9, 3.1.0, 3.1.1)

Функция X509_VERIFY_PARAM_add0_policy() предназначена для проверки политик сертификатов. Реализация этой функции не активирует подобную проверку, поэтому сертификаты с недействительными или некорректными политиками могут успешно проходить эту проверку. Приложения, требующие от OpenSSL проверки политик сертификатов, должны использовать X509_VERIFY_PARAM_set1_policies() или вызов X509_VERIFY_PARAM_set_flags() с аргументом X509_V_FLAG_POLICY_CHECK. Проверки политик сертификатов отключены по умолчанию в OpenSSL и как правило не используются приложениями.

Для устранения уязвимости необходимо установить последнюю версию продукта, соответствующую используемой платформе. Необходимую информацию можно получить по адресу:
https://www.openssl.org/

Источник: CVE
Наименование: CVE-2023-0466
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-0466

https://www.openssl.org/news/secadv/20230328.txt