CVE-2020-26263
Təsvir
tlslite-ng, SSL və TLS kriptoqrafik protokollarını tətbiq edən açıq mənbəli python kitabxanasıdır. tlslite-ng-nin 0.7.6 və 0.8.0-alpha39 versiyalarından əvvəlki versiyalarında, RSA PKCS#1 v1.5 dekripsiyasında dekripsiya və doldurma yoxlamasını yerinə yetirən kod məlumatdan asılıdır. Xüsusilə, kodda dekripsiya edilmiş şifrəli mətn haqqında məlumat sızdıran çox sayda yol mövcuddur. Açiq mətn 0x00, 0x02 ilə başlamadığı an proses dayandırılır. RSA açar mübadiləsini aktivləşdirən bütün TLS serverləri, həmçinin RSA dekripsiya API-dən birbaşa istifadə edən tətbiqlər həssasdır. Bu problem 0.7.6 və 0.8.0-alpha39 versiyalarında düzəldilmişdir. Qeyd: yamalar Python-un fərdi baytları yan kanal hücumlarına qarşı davamlı şəkildə emal etməsindən asılıdır, lakin bunun belə olmadığı məlumdur (istinada baxın). Buna görə də, tlslite-ng-nin təhlükəsizlik siyasətində qeyd edildiyi kimi, yan kanal müqavimətinə ehtiyacı olan istifadəçilərə fərqli TLS tətbiqlərindən istifadə etmək tövsiyə olunur.
Necə düzəltmək olar
- tlslite-ng_project tlslite-ng0.7.6 və ya daha yeni versiya
- tlslite-ng0.7.6 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| tlslite-ng_project tlslite-ng | v < 0.7.6, 0.8.0 | 0.7.6 |
| tlslite-ngPyPI | v < 0.7.6 | 0.7.6 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.