OpenSSL 3.6.1 Được Phát Hành Với Các Bản Sửa Lỗi Bảo Mật Mức Độ Nghiêm Trọng Cao

OpenSSL 3.6.1 đã ra mắt với các bản vá cho nhiều lỗ hổng nghiêm trọng ảnh hưởng đến TLS, PKCS12, CMS và việc quản lý chứng chỉ.

OpenSSL đã phát hành phiên bản 3.6.1, một bản cập nhật bảo mật tập trung vào việc khắc phục nhiều lỗ hổng, bao gồm một số lỗ hổng được đánh giá là nghiêm trọng, đồng thời bao gồm các bản sửa lỗi được tích lũy kể từ bản cập nhật 3.6.x trước đó.

Trong số những vấn đề đáng chú ý nhất là việc sửa lỗi xác thực không đúng các tham số PBMAC1 trong quá trình kiểm tra MAC của PKCS#12, được theo dõi với mã CVE-2025-11187.

Một số lỗ hổng liên quan đến bộ nhớ cũng đã được khắc phục, bao gồm tràn bộ đệm stack trong quá trình phân tích CMS AuthEnvelopedData, nhiều vấn đề ghi vượt giới hạn và trên heap trong các đường dẫn mã BIO và PKCS#12, cũng như việc tham chiếu con trỏ NULL trong các hàm tra cứu và giải mã cipher.

OpenSSL 3.6.1 cũng khắc phục các vấn đề ảnh hưởng đến việc triển khai TLS hiện đại. Một lỗi gây ra việc cấp phát bộ nhớ quá mức khi xử lý các thông điệp CompressedCertificate của TLS 1.3 đã được sửa, cũng như một vấn đề liên quan đến các byte dư không xác thực hoặc không được mã hóa trong các cuộc gọi chức năng OCB cấp thấp.

Các bản sửa bổ sung giải quyết việc thiếu xác thực loại ASN.1 trong việc xác minh phản hồi dấu thời gian và phân tích PKCS#12, cũng như vấn đề nhầm lẫn loại ASN.1 trong xử lý tóm tắt PKCS7.

Ngoài các lỗ hổng bảo mật, bản phát hành này còn sửa hai lỗi hồi quy được giới thiệu trong OpenSSL 3.6.0. Một lỗi khôi phục lại hành vi trước đó của cờ X509_V_FLAG_CRL_CHECK_ALL, trong khi lỗi còn lại khắc phục sự cố bắt tay do xử lý không đúng các phản hồi OCSP gắn kèm khi các máy chủ OpenSSL 3.6.0 tương tác với một số triển khai khách hàng nhất định.

Dự án khuyến nghị người dùng và các bản phân phối đang sử dụng OpenSSL 3.6.x nên cập nhật ngay, đặc biệt là trong các trường hợp dịch vụ TLS, xác thực chứng chỉ, hoặc xử lý PKCS#12 bị khai thác.

Để biết thêm thông tin, xem nhật ký thay đổi.