Podatności TLS 1.3

Podczas uzgadniania TLS 1.3, jeśli wiele komunikatów jest wysyłanych w rekordach przekraczających granice poziomów szyfrowania (np. Client Hello i Encrypted Extensions), kolejne komunikaty mogą zostać przetworzone przed zmianą poziomu szyfrowania. Może to spowodować niewielkie ujawnienie informacji.

W TLS 1.3 rzeczywisty typ rekordu jest osadzany jako ostatni niezerowy bajt odszyfrowanego ładunku, opcjonalnie z zerowym dopełnieniem. Kod wyszukujący wewnętrzny typ rekordu miał błąd off-by-one, który mógł być wywołany przez nieprawidłową ramkę, prowadząc do niedomiaru, a następnie bezwarunkowego dereferencji wskaźnika NULL, powodując panikę jądra. Zdalny peer TLS 1.3 może wysłać specjalnie spreparowany rekord, aby wywołać panikę jądra, powodując odmowę usługi (DoS).

Klient TCP może przeprowadzić handshake TLS i przedstawić rozszerzenie server name z nazwą akceptowaną przez wildcard serwera, np. gdy serwer ma certyfikat dla *.example.com, akceptowana jest każda nazwa XYZ.example.com, gdzie XYZ jest poprawną nazwą. Opis nie wskazuje konkretnego produktu ani wersji.

Jeśli jedna strona połączenia TLS wyśle wiele komunikatów aktualizacji klucza po uzgodnieniu w pojedynczym rekordzie, połączenie może się zablokować, powodując niekontrolowane zużycie zasobów. Prowadzi to do odmowy usługi. Podatność dotyczy tylko TLS 1.3.

W połączeniach TLS 1.2 klient może użyć dowolnego obsługiwanego skrótu, w tym słabszego, zamiast skrótów wskazanych w CertificateRequest. Może to osłabić bezpieczeństwo uzgadniania połączenia.

Przy użyciu TLS 1.3 z kluczem pre-shared (PSK) złośliwy lub wadliwy serwer może zignorować żądanie PFS (perfect forward secrecy), a klient kontynuuje połączenie z PSK bez PFS. Dzieje się tak, gdy serwer odpowiada na ClientHello zawierające psk_dhe_ke bez rozszerzenia key_share, co obniża bezpieczeństwo połączenia.