Vývojáři projektu Fedora oznámili, že vydání Fedory 37 se odkládá na 15. listopadu kvůli nutnosti opravy kritické zranitelnosti v knihovně OpenSSL. Vzhledem k tomu, že podrobnosti o zranitelnosti budou zveřejněny až 1. listopadu a není jasné, kolik času bude potřeba na implementaci ochrany do distribuce, bylo rozhodnuto odložit vydání o 2 týdny. Není to první odklad termínů — původně se očekávalo vydání Fedory 37 18. října, ale bylo již dvakrát odloženo (na 25. října a 1. listopadu) kvůli nesplnění kritérií kvality.
V současné době zůstávají v konečných testovacích sestavách neopraveny 3 problémy, které jsou považovány za blokující pro vydání. Kromě nutnosti opravit zranitelnost v openssl se zmiňuje zamrzání kompozitního správce kwin při spouštění relace KDE Plasma na bázi Wayland v režimu nomodeset (základní grafika) v UEFI a zamrzání aplikace gnome-calendar při úpravě opakujících se událostí.
Kritická zranitelnost v OpenSSL se týká pouze větve 3.0.x, vydání 1.1.1x zranitelnosti nepodléhají. Větev OpenSSL 3.0 se již používá v distribucích jako Ubuntu 22.04, CentOS Stream 9, RHEL 9, OpenMandriva 4.2, Gentoo, Fedora 36, Debian Testing/Unstable. V SUSE Linux Enterprise 15 SP4 a openSUSE Leap 15.4 jsou balíčky s OpenSSL 3.0 dostupné volitelně, systémové balíčky používají větev 1.1.1. Na větvích OpenSSL 1.x zůstávají Debian 11, Arch Linux, Void Linux, Ubuntu 20.04, Slackware, ALT Linux, RHEL 8, OpenWrt, Alpine Linux 3.16.
Zranitelnost byla zařazena mezi kritické, podrobnosti zatím nejsou zveřejněny, ale podle úrovně nebezpečnosti je problém blízký proslulé zranitelnosti Heartbleed. Kritická úroveň nebezpečnosti naznačuje možnost provedení vzdáleného útoku na typické konfigurace. K kritickým mohou patřit problémy vedoucí k vzdáleným únikům obsahu paměti, serveruprovádění kódu útočníka nebo kompromitaci serverových uzavřených klíčů. Oprava OpenSSL 3.0.7 s řešením problému a informace o podstatě zranitelnosti budou zveřejněny 1. listopadu.
Zdroj: opennet.ru
