For the English version of this alert, click here.
Allele Security Alert
ASA-2019-00536
Identificador(es)
ASA-2019-00536, CVE-2019-1549
Título
Proteção fork
Fabricante(s)
The OpenSSL Project
Produto(s)
OpenSSL
Versão(ões) afetada(s)
OpenSSL versão 1.1.1
Versão(ões) corrigida(s)
OpenSSL versão 1.1.1d
Prova de conceito
Desconhecido
Descrição
O OpenSSL 1.1.1 introduziu um reescrito gerador de números aleatórios (RNG). Isso pretendia incluir proteção no caso de uma chamada do sistema fork() para garantir que os processos pai e filho não compartilhassem o mesmo estado RNG. No entanto, essa proteção não estava sendo usada no caso padrão. Uma mitigação parcial para esse problema é que a saída de um timer de alta precisão é misturada no estado RNG, para que a probabilidade de um estado de compartilhamento de processos pai e filho seja significativamente reduzida.
Se um aplicativo já chamar OPENSSL_init_crypto() explicitamente usando OPENSSL_INIT_ATFORK, esse problema não ocorrerá.
Detalhes técnicos
Desconhecido
Créditos
Matt Caswell
Referência(s)
Fork Protection (CVE-2019-1549)
https://www.openssl.org/news/secadv/20190910.txt
drbg: ensure fork-safety without using a pthread_atfork handler
https://git.openssl.org/gitweb/?p=openssl.git;a=commitdiff;h=1b0fe00e2704b5e20334a16d3c9099d1ba2ef1be
CVE-2019-1549
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-1549
CVE-2019-1549
https://nvd.nist.gov/vuln/detail/CVE-2019-1549
Se encontrou algum erro neste alerta ou deseja uma análise compreensiva, entre em contato.
Última modificação: 16 setembro 2019