安全通告-OpenSSL拒绝服务漏洞安全风险

发布时间:2020-12-23浏览次数:

漏洞描述

OpenSSL是一个开放源代码的软件库包,应用程序可以使用这个包来进行安全通信,避免窃听,同时确认另一端连接者的身份。这个包广泛被应用在互联网的网页服务器上。2020年12月08日,OpenSSL官方发布安全公告,披露CVE-2020-1971 OpenSSL GENERAL_NAME_cmp拒绝服务漏洞。当两个GENERAL_NAME都包含同一个EDIPARTYNAME时,由于GENERAL_NAME_cmp函数未能正确处理,从而导致空指针引用,并可能导致拒绝服务。提醒使用OpenSSL的用户尽快采取安全措施阻止漏洞攻击。

漏洞编号

CVE-2020-1971

漏洞危害

当两个GENERAL_NAME都包含同一个EDIPARTYNAME时,由于GENERAL_NAME_cmp函数未能正确处理,从而导致空指针引用,并可能导致拒绝服务。

漏洞等级

高危

受影响版本

OpenSSL 1.1.1 ~ 1.1.1h,OpenSSL 1.0.2 ~ 1.0.2w

修复方案

目前官方已发布新版本修复了此漏洞,请受影响的用户尽快升级至对应的新版本进行防护。

参考链接

1.    https://www.openssl.org/news/vulnerabilities-1.1.1.html#CVE-2020-1971

2.    https://www.openssl.org/news/vulnerabilities-1.0.2.html#CVE-2020-1971