OpenSSL 软件库曝高危漏洞，可实施中间人攻击
内容提要
OpenSSL 修复了高危漏洞 CVE-2024-12797，该漏洞可能导致中间人攻击，影响使用 RFC7250 原始公钥的 TLS 客户端，特别是在 SSL_VERIFY_PEER 模式下的认证检查失败。受影响版本包括 OpenSSL 3.2、3.3 和 3.4，已在新版本中修复。
关键要点
-
OpenSSL 修复了高危漏洞 CVE-2024-12797，可能导致中间人攻击。
-
该漏洞影响使用 RFC7250 原始公钥的 TLS 客户端，特别是在 SSL_VERIFY_PEER 模式下。
-
受影响版本包括 OpenSSL 3.2、3.3 和 3.4，已在新版本中修复。
-
漏洞由苹果研究人员于 2024 年 12 月 18 日报告，Viktor Dukhovni 进行了修复。
-
默认情况下，RPK 在 TLS 客户端和服务器中均为禁用状态。
-
启用服务器端原始公钥的客户端可通过调用 SSL_get_verify_result() 检查验证是否失败。
-
历史上，OpenSSL 还修复了 CVE-2022-3602 和 CVE-2022-3786 两个高严重性漏洞，涉及缓冲区溢出问题。
延伸解读
漏洞影响范围
CVE-2024-12797 漏洞主要影响那些显式启用 RFC7250 原始公钥的 TLS 客户端，尤其是在 SSL_VERIFY_PEER 模式下。这意味着，只有在特定配置下，攻击者才能利用此漏洞进行中间人攻击。用户在配置 TLS 客户端时需谨慎，确保了解原始公钥的启用状态。
修复与更新的重要性
OpenSSL 已在新版本中修复了该漏洞，用户应及时更新到 3.4.1、3.3.2 或 3.2.4 版本，以确保安全。未及时更新可能导致系统面临中间人攻击的风险，影响数据安全和通信的完整性。
历史漏洞回顾
OpenSSL 过去曾修复过多个高严重性漏洞，如 CVE-2022-3602 和 CVE-2022-3786，这些漏洞涉及缓冲区溢出问题。了解历史漏洞有助于用户认识到 OpenSSL 的安全性挑战，增强对安全更新的重视。
延伸问答
CVE-2024-12797 漏洞的影响是什么？
该漏洞可能导致中间人攻击，影响使用 RFC7250 原始公钥的 TLS 客户端，特别是在 SSL_VERIFY_PEER 模式下的认证检查失败。
哪些版本的 OpenSSL 受到 CVE-2024-12797 漏洞的影响？
受影响的版本包括 OpenSSL 3.2、3.3 和 3.4。
如何检查原始公钥验证是否失败？
启用服务器端原始公钥的客户端可以通过调用 SSL_get_verify_result() 来检查验证是否失败。
CVE-2024-12797 漏洞是由谁发现并修复的？
该漏洞由苹果研究人员发现，并由 Viktor Dukhovni 修复。
默认情况下，RPK 在 TLS 客户端和服务器中是启用还是禁用？
默认情况下，RPK 在 TLS 客户端和服务器中均为禁用状态。
OpenSSL 过去修复过哪些高严重性漏洞？
OpenSSL 过去修复过 CVE-2022-3602 和 CVE-2022-3786 两个高严重性漏洞，涉及缓冲区溢出问题。
