Projekt LibreSSL oznámil vydání verze 4.3.0, která je již dostupná na zrcadlech OpenBSD.
Toto je vývojové vydání pro větev 4.3.x, proto vývojáři vyzývají komunitu k aktivnímu testování. Další změny API a ABI v větvi 4.3 nejsou plánovány.
Klíčovým novým prvkem této verze byla podpora postkvantové metody výměny klíčů MLKEM768_X25519 v TLS v souladu s návrhem IETF draft-ietf-tls-ecdhe-mlkem. Opraveno bylo "off-by-one" chyby ve verifikaci hloubky certifikátu X.509, které mohlo vést k přepsání 4 bajtů v paměti při práci se škodlivým serverem nebo při povolené verifikaci klientských certifikátů. Maximální hloubka je nyní omezena na 32. Problém byl zjištěn společností Calif.io ve spolupráci s Claude a Anthropic Research.
Interní vylepšení:
- Byly odstraněny zastaralé kódy, které zbyly od podpory SSLv2 a SSLv3/TLS 1.0.
- ec_point_cmp() byla přepracována.
- Do DH_check() byla přidána rychlá cesta pro dobře známá prvočísla DH, včetně čísel z RFC 7919.
Změny vzájemné kompatibility:
- Bylo odstraněno mnoho nepoužívaných makrů BN_* s neinformativními názvy (BN_LONG, BN_BITS4, BN_MASK2 atd.).
- openssl(1) cms již nepřijímá nepodporované klíče -compress a -uncompress.
- Byl přidán příznak PKCS7_NO_DUAL_CONTENT pro kompatibilní chování s některými jazykovými vazbami.
Opravy chyb:
- Byly odstraněny úniky paměti v CMS_EncryptedData_encrypt() a nref_nos().
- Bylo opraveno kódování bitových řetězců se závěrečnými nulami.
- Bylo odstraněno pády při analýze PKCS#12 a odpovědí na časové razítko.
- Opraveno bylo mnoho chyb v libtls (kontroly délky, konzistence chybových zpráv).
Ostatní:
- Do libssl byla přidána podpora algoritmu RSASSA-PSS s OID.
- Do veřejného API byly přidány funkce X509_VERIFY_PARAM_set_hostflags() a SSL_SESSION_dup().
- BIGNUM nyní používá standardní typy C99 (uint64_t/uint32_t), což opravuje problémy na 64-bitovém Windows.
Zdroj: linux.org.ru
