UCloud-202012-003:OpenSSL GENERAL_NAME_cmp 拒绝服务漏洞安全告警
- 发布时间
- 更新时间
- 2020-12-11
- 漏洞等级
- High
- CVE编号
- CVE-2020-1971
漏洞详情
OpenSSL官方发布安全公告，披露CVE-2020-1971 OpenSSL GENERAL_NAME_cmp 拒绝服务漏洞。当两个GENERAL_NAME都包含同一个EDIPARTYNAME时，由于GENERAL_NAME_cmp函数未能正确处理，从而导致空指针引用，并可能导致拒绝服务。
影响范围
OpenSSL 1.1.1 ～ 1.1.1h
OpenSSL 1.0.2 ～ 1.0.2w
修复方案
注意：安装升级前，请做好数据备份、快照和测试工作，防止发生意外
1.直接到openssl官网下载以下安全版本后自编译安装：
OpenSSL 1.1.1i、OpenSSL 1.0.2x
检测方法：执行openssl version查看版本信息
2.centos官方已经发布部分可用修复版本,目前UCloud云官方已经更新了的软件源，您可以进行升级修复；
centos 7: 1.0.2k-21.el7_9
3.ubuntu用户，官方已经发布部分可用修复版本，目前UCloud云官方已经更新了的软件源，您可以进行升级修复：
操作系统
修复版本
Ubuntu 21.04 (Hirsute Hippo)
Pending (1.1.1f-1ubuntu5)
Ubuntu 20.10 (Groovy Gorilla)
Released (1.1.1f-1ubuntu4.1)
Ubuntu 20.04 LTS (Focal Fossa)
Released (1.1.1f-1ubuntu2.1)
Ubuntu 18.04 LTS (Bionic Beaver)
Released (1.1.1-1ubuntu2.1~18.04.7)
Ubuntu 16.04 LTS (Xenial Xerus)
Released (1.0.2g-1ubuntu4.18)
Ubuntu 14.04 ESM (Trusty Tahr)
未发布
Ubuntu 12.04 ESM (Precise Pangolin)
未发布
4.debian用户，官方已经发布部分可用修复版本，目前UCloud云官方已经更新了的软件源，您可以进行升级修复：
操作系统
版本
状态
openssl (PTS)
stretch (security), stretch
1.1.0l-1~deb9u1
vulnerable
buster (security)
1.1.1d-0+deb10u4
fixed
bullseye
1.1.1h-1
vulnerable
sid
1.1.1i-1
fixed
openssl1.0 (PTS)
stretch
1.0.2u-1~deb9u1
vulnerable
stretch (security)
1.0.2u-1~deb9u2
vulnerable
参考链接
https://www.openssl.org/news/vulnerabilities-1.1.1.html#CVE-2020-1971
https://www.openssl.org/news/vulnerabilities-1.0.2.html#CVE-2020-1971
https://access.redhat.com/security/cve/cve-2020-1971