CVE-2019-1552

OpenSSL, bir yapılandırma dosyasının yanı sıra TLS'de doğrulama için kullanılan sertifikaları bulabileceği bir dizin ağacı için dahili varsayılanlara sahiptir. Bu dizin genellikle OPENSSLDIR olarak adlandırılır ve --prefix / --openssldir yapılandırma seçenekleriyle yapılandırılabilir. OpenSSL 1.1.0 ve 1.1.1 sürümleri için, mingw yapılandırma hedefleri; ortaya çıkan programların ve kütüphanelerin Unix benzeri bir ortama yüklendiğini varsayar ve hem program kurulumu hem de OPENSSLDIR için varsayılan ön ek '/usr/local' olmalıdır. Ancak, mingw programları Windows programlarıdır ve bu nedenle kendilerini 'C:/usr/local' alt dizinlerine bakarken bulurlar; burası herkes tarafından yazılabilir olabilir ve bu durum güvenilmeyen kullanıcıların OpenSSL'nin varsayılan yapılandırmasını değiştirmesine, CA sertifikaları eklemesine, mevcut engine modüllerini değiştirmesine (veya değiştirmesine) vb. olanak tanır. OpenSSL 1.0.2 için, Visual C derlemeleri dahil tüm Unix ve Windows hedeflerinde OPENSSLDIR için varsayılan olarak '/usr/local/ssl' kullanılır. Bununla birlikte, 1.0.2 üzerindeki çeşitli Windows hedefleri için bazı derleme talimatları kendi --prefix değerinizi belirtmenizi teşvik eder. OpenSSL 1.1.1, 1.1.0 ve 1.0.2 sürümleri bu sorundan etkilenmektedir. Etkilenen dağıtımların sınırlı kapsamı nedeniyle bu durum düşük önem dereceli olarak değerlendirilmiştir ve bu nedenle şu anda yeni sürümler oluşturmuyoruz. OpenSSL 1.1.1d sürümünde düzeltildi (Etkilenenler 1.1.1-1.1.1c). OpenSSL 1.1.0l sürümünde düzeltildi (Etkilenenler 1.1.0-1.1.0k). OpenSSL 1.0.2t sürümünde düzeltildi (Etkilenenler 1.0.2-1.0.2s).