Разработчиците на проекта Fedora обявиха, че пускането на Fedora 37 е отсрочено до 15 ноември заради необходимостта от отстраняване на критична уязвимост в библиотеката OpenSSL. Тъй като информацията за същността на уязвимостта ще бъде разкрита едва на 1 ноември и не е ясно колко време ще отнеме реализирането на защитата в дистрибуцията, решението е да се отложи пускането с 2 седмици. Това не е първото отлагане на сроковете — първоначално релизът на Fedora 37 беше предвиден за 18 октомври, но два пъти беше отлаган (за 25 октомври и 1 ноември) поради неизпълнение на критериите за качество.
В момента в финалните тестови сборки остават три проблема, които са класифицирани като блокиращи за пускането. Освен необходимостта от отстраняване на уязвимостта в OpenSSL, се споменава за замръзването на композитния мениджър KWin при стартиране на сесия KDE Plasma на база Wayland в режим nomodeset (основна графика) в UEFI и за замръзването на приложението gnome-calendar при редактиране на повтарящи се събития.
Критичната уязвимост в OpenSSL засяга само клон 3.0.x, версиите 1.1.1x не са уязвими. Клонът OpenSSL 3.0 вече се използва в дистрибуции като Ubuntu 22.04, CentOS Stream 9, RHEL 9, OpenMandriva 4.2, Gentoo, Fedora 36, Debian Testing/Unstable. В SUSE Linux Enterprise 15 SP4 и openSUSE Leap 15.4 пакетите с OpenSSL 3.0 са налични опционално, системните пакети използват клона 1.1.1. Ветките OpenSSL 1.x остават в Debian 11, Arch Linux, Void Linux, Ubuntu 20.04, Slackware, ALT Linux, RHEL 8, OpenWrt, Alpine Linux 3.16.
Уязвимостта е класифицирана като критична, подробности все още не са обявени, но по отношение на сериозността, проблемът е близък до нашумялата уязвимост Heartbleed. Критичният ниво на опасност предполага възможността за извършване на отдалечена атака срещу стандартни конфигурации. Критичните проблеми могат да включват ситуации, водещи до отдалечени изтичания на съдържанието на паметта. сървър, изпълнение на код от нападателя или компрометиране на затворените ключове на сървъра. Поправката OpenSSL 3.0.7 с отстраняване на проблема и информация за същността на уязвимостта ще бъде публикувана на 1 ноември.
Източник: opennet.ru
