CVE-2020-1971 | OpenSSL拒絕服務漏洞通告
發布時間 2020-12-090x00 漏洞概述
CVE ID | CVE-2020-1971 | 時 間 | 2020-12-09 |
類 型 | 拒絕服務 | 等 級 | 高危 |
遠程利用 | 是 | 影響范圍 | OpenSSL 1.1.1 - 1.1.1h OpenSSL 1.0.2 - 1.0.2w |
0x01 漏洞詳情
OpenSSL是一個開放源代碼的軟件庫包，應用程序可以使它來進行安全通信，以避免被竊聽，同時它能夠確認另一端連接者的身份，被廣泛被應用在互聯網的網頁服務器上。
2020年12月08日，OpenSSL官方發布安全公告，OpenSSL 中存在一個拒絕服務漏洞（CVE-2020-1971）。
當OpenSSL 使用的GENERAL_NAME_cmp函數和GENERAL_NAME 函數都包含一個EDIPARTYNAME時，由于GENERAL_NAME_cmp函數未能正確處理，將導致空指針引用。攻擊者可以通過構造格式錯誤的EDIPARTYNAME來利用此漏洞，OpenSSL的解析器將接受該格式，最終可能導致拒絕服務。
OpenSSL使用的GENERAL_NAME_cmp函數有兩個作用：
比較可用的CRL和嵌入在X509證書中的CRL分發點之間的CRL分發點名稱；
驗證時間戳響應令牌簽名者是否與時間戳授權名稱匹配（通過API函數TS_RESP_verify_response和TS_RESP_verify_token）。
0x02 處置建議
目前OpenSSL已經修復了此漏洞，建議升級至最新版本。
OpenSSL 1.1.1i
OpenSSL 1.0.2x
（注：自2020年1月1日起，OpenSSL 1.0.2不再受支持，并且官方不再接收更新，建議升級至OpenSSL 1.1.1i）
下載鏈接：
https://www.openssl.org/source/openssl-1.1.1i.tar.gz
0x03 參考鏈接
https://www.openssl.org/news/vulnerabilities-1.1.1.html#CVE-2020-1971
https://www.openssl.org/news/vulnerabilities-1.0.2.html#CVE-2020-1971
https://www.openssl.org/source/
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-1971
0x04 時間線
2020-12-08 OpenSSL發布安全公告
2020-12-09 VSRC發布安全通告
0x05 附錄
CVSS評分標準官網：http://www.first.org/cvss/
京公網安備11010802024551號