CVE-2020-26263
Açıklama
tlslite-ng, SSL ve TLS kriptografik protokollerini uygulayan açık kaynaklı bir python kütüphanesidir. tlslite-ng'nin 0.7.6 ve 0.8.0-alpha39 versiyonlarından önceki sürümlerinde, RSA PKCS#1 v1.5 şifre çözmede şifre çözme ve dolgu kontrolünü gerçekleştiren kod veriye bağımlıdır. Özellikle kod, çözülen şifreli metin hakkında bilgi sızdıran birden fazla yönteme sahiptir; düz metin 0x00, 0x02 ile başlamadığı anda işlemi durdurur. RSA anahtar değişimini etkinleştiren tüm TLS sunucuları ve RSA şifre çözme API'sini doğrudan kullanan uygulamalar savunmasızdır. Bu durum 0.7.6 ve 0.8.0-alpha39 versiyonlarında yamalanmıştır. Not: Yamalar, Python'un tekil baytları yan kanal saldırılarına karşı güvenli bir şekilde işlemesine bağlıdır ancak bunun böyle olmadığı bilinmektedir (referansa bakınız). Bu nedenle, yan kanal direncine ihtiyaç duyan kullanıcıların, tlslite-ng güvenlik politikasında belirtildiği üzere farklı TLS uygulamaları kullanmaları önerilir.
Nasıl düzeltilir
- tlslite-ng_project tlslite-ng0.7.6 ya da sonraki bir sürüm
- tlslite-ng0.7.6 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| tlslite-ng_project tlslite-ng | v < 0.7.6, 0.8.0 | 0.7.6 |
| tlslite-ngPyPI | v < 0.7.6 | 0.7.6 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.