Актуализация на OpenSSL 1.1.1j, wolfSSL 4.7.0 и LibreSSL 3.2.4

Достъпен е коригиращият ъпдейт на криптографската библиотека OpenSSL 1.1.1j, в който са отстранени две уязвимости:

• CVE-2021-23841 — разривание на нулев указател в функцията X509_issuer_and_serial_hash(), което може да доведе до срив на приложения, които извикват тази функция за обработка на X509 сертификати с неправилна стойност в полето issuer.
• CVE-2021-23840 — целочислено преливане в функциите EVP_CipherUpdate, EVP_EncryptUpdate и EVP_DecryptUpdate, в резултат на което може да се върне стойност 1, означаваща успешното изпълнение на операцията, и задаване на отрицателна стойност с размер, което може да доведе до срив на приложения или нарушаване на нормалното поведение.
• CVE-2021-23839 — недостатък в реализацията на защита от откат при използването на протокола SSLv2. Проявява се само в старата версия 1.0.2.

Също така беше публикуван релиз на пакета LibreSSL 3.2.4, в рамките на който проектът OpenBSD развива форка OpenSSL, насочен към осигуряване на по-високо ниво на сигурност. Изданието е забележително с завръщането към стария код за верификация на сертификати, използван в LibreSSL 3.1.x, поради нарушаване на нормалната работа на някои приложения с привързаности за заобикаляне на грешките в стария код. От новостите се откроява добавянето на реализации на компонентите exporter и autochain в TLSv1.3.

Освен това, беше представен нов ъпдейт на компактната криптографска библиотека wolfSSL 4.7.0, оптимизирана за ползване на вградени устройства с ограничени ресурси на процесора и паметта, като устройства за интернет на нещата, системи за умни домове, информационни системи за автомобили, маршрутизатори и мобилни телефони. Кодът е написан на C и се разпространява под лицензия GPLv2.

В новата версия е реализирана поддръжка на RFC 5705 (Exporters за ключови материали за TLS) и S/MIME (Secure/Multipurpose Internet Mail Extensions). Добавен е флаг „—enable-reproducible-build“ за осигуряване на повтаряеми сборки. В прослойката за съвместимост с OpenSSL са добавени API SSL_get_verify_mode, API на X509_VERIFY_PARAM и X509_STORE_CTX. Реализиран е макрос WOLFSSL_PSK_IDENTITY_ALERT. Добавена е нова функция _CTX_NoTicketTLSv12 за деактивиране на сесионни тикети TLS 1.2, но с запазване за TLS 1.3.

Източник: opennet.ru