openssl/openssl

RFC 5280 X509 compliance issues in OpenSSL v3.1.1 or later

Open

#24 258 ouverte le 24 avr. 2024

Voir sur GitHub
 (9 commentaires) (0 réactions) (0 assignés)C (11 262 forks)batch import
branch: masterhelp wantedtriaged: feature

Métriques du dépôt

Stars
 (30 157 stars)
Métriques de merge PR
 (Aucune PR mergée en 30 j)

Description

  1. It allows empty DirectoryString (e.g., "") in Distinguished name structures of Issuer and Subject name. (RFC 5280 non-compliant)
  2. You should not allow 0 (zero) as certificate serial number. RFC 5280 says, "The serial number MUST be a positive integer assigned by the CA to each cer- tificate...CAs MUST force the serial Number to be a non-negative integer...Non- conforming CAs may issue certificates with serial numbers that are negative or zero. Certificate users SHOULD be prepared to gracefully handle such certificates."
  3. We found your implementation do not report any error or warning for Version 4 - 10 (value 3-9) certificates whereas Certificate Version can be either 1 (value 0), 2 (value 1), or 3 (value 2). (RFC 5280 non-compliant)

Guide contributeur

Direction de recherche
Examinez le code d'analyse des certificats X509 dans OpenSSL, en vous concentrant sur la validation de DirectoryString, la gestion du numéro de série et les vérifications de version. Assurez la conformité avec la RFC 5280.
Stack technique
c
Domaine
securitycryptographybackend
Type d'issue
Bug
DifficultéDifficulté estimée pour un nouveau contributeur, de 1 pour un très petit changement à 5 pour un travail expert.
3
Temps estiméFourchette de temps approximative pour investiguer, implémenter, tester et préparer une pull request.
Une demi journée
Statut d'activitéDisponibilité apparente de l'issue : fraîche, active, ancienne, bloquée ou en attente d'un mainteneur.
Active
ClartéClarté avec laquelle l'issue explique le changement attendu, les critères d'acceptation et la prochaine étape.
Claire
Prérequis
CX509OpenSSL
Accessibilité débutantScore de 1 à 100 estimant l'accessibilité de cette issue pour un premier contributeur.
40