OpenSSL是一个开放源代码的软件库包，应用程序可以使用这个包来进行安全通信，同时确认连接者身份。这个包广泛被应用在互联网的网页服务器上。例如：cisco设备，apache server，nginx server等。

近日，OpenSSL发布了OpenSSL的安全更新风险通告，漏洞编号为CVE-2021-3450,CVE-2021-3449。

CVE-2021-3450: OpenSSL 证书校验漏洞

OpenSSL 证书校验漏洞，该漏洞源于在开启 X509_V_FLAG_X509_STRICT 选项的 openssl 服务器上，由于OpenSSL对X.509证书链的验证逻辑中存在问题，导致受影响的系统接受由非CA证书或证书链签名的有效证书。攻击者可以通过使用任何有效的证书或证书链来签名精心制作的证书来利用此漏洞。成功的利用可能使攻击者能够进行中间人（MiTM）攻击并获取敏感信息(例如：访问受证书身份验证保护的网络或资产，窃听加密通信内容)。

CVE-2021-3449: OpenSSL 拒绝服务漏洞

OpenSSL存在拒绝服务漏洞，OpenSSL TLSv1.2 重新协商选项（默认开启）中存在一处空指针解引用，并导致拒绝服务。

CVE 编号

CVE-2021-3450
CVE-2021-3449

FOFA查询

app="OpenSSL"

影响范围

• openssl: 1.1.1h~1.1.1j

根据目前FOFA系统最新数据（一年内数据），显示全球范围内（app="OpenSSL"）共有 13,558,071 个相关服务对外开放。美国使用数量最多，共有 3,867,730 个；日本第二，共有 927,857 个；中国第三，共有 915,946 个；德国第四，共有 731,164 个；法国第五，共有 585,425 个。

全球范围内分布情况如下（仅为分布情况，非漏洞影响情况）

中国大陆地区广东使用数量最多，共有 56,035 个；北京第二，共有 45,165 个；浙江第三，共有 36,745 个；上海第四，共有 27,238 个；江苏第五，共有 19,831 个。

修复建议

1. 升级升级到 openssl 到最新版本1.1.1k。

   下载链接：https://oomake.com/download/openssl

2. 临时修补建议：

   openssl s_client -tls1_2 -connect your_domain:443
   [按下 R键]
   

   查看关键词RENEGOTIATING下方是否有包含verify关键词的内容。若存在则受到影响

   若出现write:errno=0则标识不受到该漏洞影响

参考

[1] https://www.openssl.org/news/vulnerabilities.html

[2] https://mp.weixin.qq.com/s/sa4OZfBbxzB9nd8d0vG_bw

白帽汇从事信息安全，专注于安全大数据、企业威胁情报。

公司产品：FOFA-网络空间安全搜索引擎、FOEYE-网络空间检索系统、NOSEC-安全讯息平台。

为您提供：网络空间测绘、企业资产收集、企业威胁情报、应急响应服务。