CVE-2024-12797
Açıklama
Sorun özeti: Bir sunucuyu kimlik doğrulamak için RFC7250 Ham Genel Anahtarlarını (Raw Public Keys - RPK) kullanan istemciler, SSL_VERIFY_PEER doğrulama modu ayarlı olduğunda el sıkışmalar beklendiği gibi sonlanmadığı için sunucunun kimliğinin doğrulanamadığını fark etmeyebilir. Etki özeti: Ham genel anahtar kullanan TLS ve DTLS bağlantıları, sunucu kimlik doğrulama hatası istemciler tarafından tespit edilmediğinde aradaki adam (man-in-the-middle) saldırılarına karşı savunmasız olabilir. RPK'lar hem TLS istemcilerinde hem de TLS sunucularında varsayılan olarak devre dışıdır. Sorun yalnızca TLS istemcilerinin sunucu tarafından RPK kullanımını açıkça etkinleştirmesi ve benzer şekilde sunucunun bir X.509 sertifika zinciri yerine RPK gönderimini etkinleştirmesi durumunda ortaya çıkar. Etkilenen istemciler, doğrulama modunu SSL_VERIFY_PEER olarak ayarlayarak, sunucunun RPK'sı beklenen genel anahtarlardan biriyle eşleşmediğinde el sıkışmanın başarısız olmasına güvenenlerdir. Sunucu tarafındaki ham genel anahtarları etkinleştiren istemciler, SSL_get_verify_result() fonksiyonunu çağırarak ham genel anahtar doğrulamasının başarısız olduğunu hala öğrenebilirler; bunu yapan ve uygun önlemi alanlar etkilenmez. Bu sorun, OpenSSL 3.2'deki ilk RPK desteği uygulamasıyla birlikte gelmiştir. 3.4, 3.3, 3.2, 3.1 ve 3.0 sürümlerindeki FIPS modülleri bu sorundan etkilenmemektedir.
Nasıl düzeltilir
- openssl openssl3.2.4, 3.3.3, 3.4.1 ya da sonraki bir sürüm
- cryptography44.0.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| openssl openssl | 3.2.0 ≤ v < 3.2.4, 3.3.0 ≤ v < 3.3.3, 3.4.0 ≤ v < 3.4.1 | 3.2.4, 3.3.3, 3.4.1 |
| cryptographyPyPI | 42.0.0 ≤ v < 44.0.1 | 44.0.1 |
| netapp snapmanager | Aralık belirtilmemiş | — |
| netapp brocade_fabric_operating_system | Aralık belirtilmemiş | — |
| netapp h300s_firmware | Aralık belirtilmemiş | — |
| netapp h500s_firmware | Aralık belirtilmemiş | — |
| netapp h700s_firmware | Aralık belirtilmemiş | — |
| netapp h410s_firmware | Aralık belirtilmemiş | — |
| netapp h410c_firmware | Aralık belirtilmemiş | — |
| netapp h610c_firmware | Aralık belirtilmemiş | — |
| netapp h610s_firmware | Aralık belirtilmemiş | — |
| netapp h615c_firmware | Aralık belirtilmemiş | — |
| netapp bootstrap_os | Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.