PT-2025-6245
CVE-2024-12797
·
تاريخ النشر
2025-02-11
·
تاريخ التحديث
2026-10-05
الوصف من
CVSS 2.0
7.5
عاليةالمقاييسAV:N/AC:L/Au:N/C:P/I:P/A:P
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات OpenSSL من 3.2 إلى 3.4
الوصف
قد يفشل العملاء الذين يستخدمون مفاتيح RFC7250 Raw Public Keys (RPKs) لمصادقة الخادم في اكتشاف أن الخادم لم يتم مصادقته. يحدث هذا لأن عمليات المصافحة TLS و DTLS لا تتوقف كما هو متوقع عند تعيين وضع التحقق
SSL VERIFY PEER. يمكن أن تؤدي هذه المشكلة إلى هجمات الوسيط (man-in-the-middle) إذا اعتمد العميل على فشل عملية المصافحة لتحديد عدم تطابق المصادقة. يتم تعطيل مفاتيح RPK افتراضيًا؛ ولا تظهر المشكلة إلا عندما يقوم العملاء بتمكين استخدام RPK صراحةً ويرسل الخادم مفتاح RPK بدلاً من سلسلة شهادات X.509. لا تتأثر العملاء الذين يتحققون من النتيجة عن طريق استدعاء الدالة SSL get verify result() ويتخذون الإجراء المناسب. لا تتأثر وحدات FIPS في الإصدارات من 3.0 إلى 3.4.التوصيات
تحديث إصدار OpenSSL 3.4 إلى 3.4.1
تحديث إصدار OpenSSL 3.3 إلى 3.3.3
تحديث إصدار OpenSSL 3.2 إلى 3.2.4
كإجراء تخفيفي مؤقت، تجنب استخدام وضع التحقق
SSL VERIFY PEER عند الاعتماد على المفاتيح العامة الأولية (Raw Public Keys) لمصادقة الخادم، أو تأكد من استدعاء الدالة SSL get verify result() للتحقق يدويًّا من حالة المصادقة.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾