Opravy Tor nástrojů (0.3.5.11, 0.4.2.8, 0.4.3.6 a 4.4.2-alpha), používané pro organizaci práce anonymní sítě Tor. V nových verzích byla odstraněna (CVE-2020-15572), vzniklá voláním na oblast paměti mimo hranice přiděleného bufferu. Zranitelnost umožňuje vzdálenému útočníkovi iniciovat pád procesu tor. Problém se projevuje pouze při kompilaci s knihovnou NSS (ve výchozím nastavení je Tor kompilován s OpenSSL a použití NSS vyžaduje zadaní příznaku „—enable-nss“).
Dodatečně plán ukončení podpory druhé verze protokolu onion služeb (dříve nazývaných skryté služby). Před půldruhým rokem byla v vydání 0.3.2.9 uživatelům třetí verze protokolu pro onion služby, pozoruhodná přechodem na 56-znakové adresy, spolehlivější ochranou proti únikům dat přes adresářové servery, rozšiřitelnou modulární strukturou a použitím algoritmů SHA3, ed25519 a curve25519 místo SHA1, DH a RSA-1024.
Druhá verze protokolu byla vyvinuta před přibližně 15 lety a kvůli používání zastaralých algoritmů v moderních podmínkách již nemůže být považována za bezpečnou. S ohledem na vypršení podpory starých větví v současnosti jakýkoli aktuální Tor gateway podporuje třetí verzi protokolu, která je nabízena ve výchozím nastavení při vytváření nových onion služeb.
15. září 2020 začne Tor upozorňovat operátory a klienty na zastarání druhé verze protokolu. 15. července 2021 bude podpora druhé verze protokolu odstraněna z kódové základny a 15. října 2021 vyjde nové stabilní vydání Tor bez podpory starého protokolu. Tímto způsobem mají vlastníci starých onion služeb k dispozici 16 měsíců na přechod na novou verzi protokolu, která vyžaduje vygenerování nového 56-znakového adresy pro službu.
Zdroj: opennet.ru
