UCloud-202502-002:OpenSSL MITM攻击漏洞安全警告

漏洞详情

OpenSSL 发布更新修复了一个严重的漏洞，由于 SSL_VERIFY_PEER 模式下的服务器身份验证检查失败，使用 RFC7250 原始公钥 (RPK) 的客户端建立的 TLS/DTLS 连接可能容易受到中间人 (MitM) 攻击。

漏洞主要影响那些显式启用 RPK 并依赖 SSL_VERIFY_PEER 来检测认证失败的 TLS 客户端。OpenSSL 维护者指出，默认情况下，RPK 在 TLS 客户端和服务器中均为禁用状态。项目公告中明确表示："只有在 TLS 客户端显式启用服务器端的 RPK，且服务器也发送 RPK 而非 X.509 证书链时，才会引发此问题。受影响的客户端通过设置验证模式为 SSL_VERIFY_PEER，期望在服务器的 RPK 与预期公钥不匹配时握手失败。"

影响范围

OpenSSL 3.2 < 3.2.4

OpenSSL 3.3 < 3.3.2

OpenSSL 3.4 < 3.4.1

备注：3.4、3.3、3.2、3.1 和 3.0 中的 FIPS 模块不受此问题的影响。OpenSSL 3.1、3.0、1.1.1 和 1.0.2 也不受此问题的影响

修复方案

注意：安装升级前，请做好数据备份、快照和测试工作，防止发生意外

1、 OpenSSL官方已发布安全通告并发布了修复版本，请尽快下载安全版本修复漏洞：

OpenSSL 3.4 >= OpenSSL 3.4.1

OpenSSL 3.3 >= OpenSSL 3.3.2

OpenSSL 3.2 >= OpenSSL 3.2.4

参考链接

https://openssl-library.org/news/secadv/20250211.txt

https://access.redhat.com/security/cve/CVE-2024-12797

https://ubuntu.com/security/CVE-2024-12797

https://security-tracker.debian.org/tracker/CVE-2024-12797