Včera byly oznámeny dvě kritické chyby v OpenSSL. První z nich CVE-2021–3449 umožňuje upravenou zprávou ClientHello při TLS 1.2 renegotiation shodit server. Všechny verze OpenSSL 1.1.1 jsou zranitelné, je potřeba aktualizovat na 1.1.1k. OpenSSL 1.0.2 zranitelné není.
Druhá chyba CVE-2021–3450 umožňuje obejít kontrolu certifikátu, pokud je nastaveno X509_V_FLAG_X509_STRICT. Zranitelné jsou verze od 1.1.1h, je opět potřeba aktualizovat na 1.1.1k.
(zdroj: arstechnica)
AFAIK androidi nepoužívají openssl by default od nějaké verze . Zde nechť mne androidem postizeni doplní ale nepoužíval nahodou bouncy castle and polarssl/mbed TLS?
Pořád je ale sance že si tu openssl knihovnu nějaké jelito prikompiluje k appce. To je ale problém přeložení pacienta na plicni oddělení a ne problem OS v telefonu či podpory výrobce.
take sem mel podobnej pocit, pak se ale podival na status obou CVE v *buntu 18.04 a 20.04, na serverech(i desktopech) zkontroloval ze ty opravne balicky mi uz vcera nainstaloval unattended-upgrade a jdu se v klidu nasnidat :-)
