【漏洞通告】OpenSSL拒绝服务漏洞安全风险通告(CVE-2020-1971)

OpenSSL拒绝服务漏洞安全风险通告

发布日期:2020-12-16

 

漏洞描述

OpenSSL是一个开放源代码的软件库包,应用程序可以使用这个包来进行安全通信,避免窃听,同时确认另一端连接者的身份。这个包广泛被应用在互联网的网页服务器上。2020年12月08日,OpenSSL官方发布安全公告,披露CVE-2020-1971 OpenSSL GENERAL_NAME_cmp 拒绝服务漏洞。当两个GENERAL_NAME都包含同一个EDIPARTYNAME时,由于GENERAL_NAME_cmp函数未能正确处理,从而导致空指针引用,并可能导致拒绝服务。禹宏信安提醒OpenSSL用户尽快采取安全措施阻止漏洞攻击。

漏洞编号

CVE-2020-1971

漏洞危害

当两个GENERAL_NAME都包含同一个EDIPARTYNAME时,由于GENERAL_NAME_cmp函数未能正确处理,从而导致空指针引用,并可能导致拒绝服务。

漏洞等级

高危
受影响版本

OpenSSL 1.1.1 ~ 1.1.1h

OpenSSL 1.0.2 ~ 1.0.2w

修复方案

目前官方已发布新版本修复了此漏洞,请受影响的用户尽快升级至对应的新版本进行防护。

参考链接

  1. https://www.openssl.org/news/vulnerabilities-1.1.1.html#CVE-2020-1971
  2. https://www.openssl.org/news/vulnerabilities-1.0.2.html#CVE-2020-1971