پروژه ی OpenSSL پنج شنبه ی هفته ی گذشته از انتشار نسخه ی ۱٫۰٫۲n خبر داد که در آن دو آسیب پذیری وصله شده است. این آسیب پذیری ها توسط محققان گوگل با استفاده از سرویس فازی OSS-Fuzz کشف و گزارش شده اند. یکی از این آسیب پذیری ها با شناسه ی CVE-2017-3737 مربوط به سازوکار «وضعیت خطا» است که در نسخه ی ۱٫۰٫۲b از این پروژه معرفی شده است. این سازوکار برای این طراحی شده تا در صورت وقوع خطای مرگ بار، اگر تلاشی برای عملیات دست‌دهی انجام شد، خطایی صادر شود. مشکل اینجاست که اگر توابع SSL_read() یا SSL_write() به‌طور مستقیم فراخوانی شوند، این سازوکار به‌درستی اجرا نخواهد شد.
هرچند که این آسیب‌پذیری می‌تواند پیامدهای جدی داشته باشد، ولی در طبقه‌بندی‌ها جزو آسیب‌پذیری‌های با درجه‌ی اهمیت متوسط در نظر گرفته شده است چرا که برنامه‌ی کاربردی هدف باید پس از مواجهه با خطای مرگ‌بار، به‌طور مستقیم توابع SSL_read() یا SSL_write() را فراخوانی کند.
آسیب‌پذیری دیگر دارای شناسه‌ی CVE-2017-3738 بوده و یک اشکال سرریز محسوب می‌شود. بهره‌برداری از این آسیب‌پذیری، به مهاجم اجازه می‌دهد تا به یک ارتباط که با فناوری TLS محافظت می‌شود، دسترسی داشته باشد. هرچند بهره‌برداری از این آسیب‌پذیری برای مهاجم بسیار سخت بوده و این اشکال در رده‌ی آسیب‌پذیری‌های سطح پایین طبقه‌بندی شده است.
آسیب‌پذیری با شناسه‌ی CVE-2017-3738 بسیار مشابه به آسیب‌پذیری‌های CVE-2017-3736 و CVE-2017-3732 است که ماه قبل توسط ابزار فازی گوگل کشف و وصله شدند. این آسیب‌پذیری نسخه‌های ۱٫۰٫۲ و ۱٫۱٫۰ از OpenSSL را تحت تاثیر قرار می‌دهد. به‌خاطر اینکه آسیب‌پذیری دارای درجه اهمیت پایین است، نسخه‌ی ۱٫۱٫۰ هنوز به‌روزرسانی نشده است و این آسیب‌پذیری در نسخه‌ی ۱٫۱٫۰h وصله خواهد شد. این سری از به‌روزرسانی‌ها، چهارمین دور از به‌روزرسانی OpenSSL است که در سال ۲۰۱۷ میلادی منتشر شده است.
