Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.

[TLP:CLEAR] OpenSSL opravuje vysoko závažnú zraniteľnosť

OpenSSL vo verziách 3.4.1, 3.3.3, 3.2.4 opravuje vysoko závažnú zraniteľnosť [1]. Moduly FIPS 3.4, 3.3, 3.2, 3.1 a 3.0, ani OpenSSL 3.1, 3.0, 1.1.1 a 1.0.2 postihnuté nie sú. Opravy sú tiež dostupné v OpenSSL git repozitári v commitoch: 738d4f9 - 3.4.1 [2], 87ebd20 - 3.3.3 [3], 798779d - 3.2.4 [4]. Z operačných systémov vydali opravy napríklad: Slackware - pre vetvu current v openssl-3.4.1 [5][6], stabilná nie je postihnutá; Red Hat - pre Red Hat Enterprise Linux 9, iné postihnuté nie sú [7]; Debian - pre vydanie sid vo verzii 3.4.1-1, vydania bullseye a bookworm postihnuté nie sú [8]; Ubuntu - vo verzii 3.3.1-2ubuntu2.1 pre vydanie oracular, ostatné nie sú postihnuté [9]; Gentoo - má niektoré verzie pre rôzne architektúry dostupné ako stabilné alebo testovacie [10]; SUSE - pre SUSE Liberty Linux 9 v 3.2.2-6.el9_5.1 [11].

OpenSSL - man-in-the-middle (CVE-2024-12797)
CVSS 7.4 (High)

Neautentizovanému vzdialenému útočníkovi je kvôli chybe vo verifikačnom mechanizme SSL_VERIFY_PEER, keď handshake nezlyhá pri neúspešnej autentizácii servera, umožnené vykonať útok man-in-the-middle na klientov používajúcich RFC7250 Raw Public Keys (RPKs) [1][12]. RPKs sú v TLS klientoch aj serveroch predvolene vypnuté. Systémy sú zraniteľné iba v prípade, že TLS klient explicitne povolí RPKs pre serverovú autentizáciu a zároveň server nakonfiguruje odosielanie RPK namiesto štandardného X.509 certifikátu. Výsledok verifikácie možno manuálne overovať pomocou SSL_get_verify_result() [1].

Zraniteľnosť sa nachádza v produkte:

  • *:OpenSSL;>=3.2,<3.2.4;>=3.3,<3.3.3;>=3.4,<3.4.1

CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N

Viac informácií:

Zraniteľnosť bola verejne oznámená 11. 2. 2025.

Za CESNET, z.s.p.o. Michaela Ručková dňa 13. 2. 2025.

CESNET, z.s.p.o. Logo