Udviklerne af Fedora-projektet har annonceret, at udgivelsen af Fedora 37 er blevet flyttet til den 15. november på grund af behovet for at løse en kritisk sårbarhed i OpenSSL-biblioteket. Da oplysninger om sårbarhedens indhold kun vil blive offentliggjort den 1. november, og det er uklart, hvor lang tid det vil tage at implementere beskyttelsen i distributionen, er det besluttet at udsætte udgivelsen med to uger. Dette er ikke første gang, at tidsplanen er blevet ændret – den oprindelige udgivelse af Fedora 37 var planlagt til den 18. oktober, men er blevet flyttet to gange (til den 25. oktober og 1. november) på grund af manglende opfyldelse af kvalitetskriterier.
I øjeblikket forbliver der tre problemer uoprettede i de finale testbuilds, som er klassificeret som blokeringer for udgivelsen. Udover behovet for at rette sårbarheden i OpenSSL nævnes der en fryse af compositor-manageren KWin, når der startes en session af KDE Plasma baseret på Wayland med nomodeset (grundlæggende grafik) i UEFI, samt en fryse af applikationen gnome-calendar ved redigering af gentagne begivenheder.
Den kritiske sårbarhed i OpenSSL påvirker kun 3.0.x-grenen; udgivelserne 1.1.1x er ikke sårbare. OpenSSL 3.0-grenen anvendes allerede i distributioner som Ubuntu 22.04, CentOS Stream 9, RHEL 9, OpenMandriva 4.2, Gentoo, Fedora 36, Debian Testing/Unstable. I SUSE Linux Enterprise 15 SP4 og openSUSE Leap 15.4 er pakker med OpenSSL 3.0 tilgængelige valgfrit, mens systempakker bruger 1.1.1-grenen. Debian 11, Arch Linux, Void Linux, Ubuntu 20.04, Slackware, ALT Linux, RHEL 8, OpenWrt og Alpine Linux 3.16 forbliver på OpenSSL 1.x-grenene.
Sårbarheden er klassificeret som kritisk; der gives endnu ikke flere detaljer, men hvad angår alvorlighed er problemet tæt på den opsigtsvækkende Heartbleed-sårbarhed. Den kritiske alvorlighed indebærer mulighed for fjernangreb på typiske konfigurationer. Kritiske problemer kan føre til fjernlækager af hukommelsens indhold. server, udførelse af angriberens kode eller kompromittering af serverens private nøgler. Rettelsen af OpenSSL 3.0.7 med løsning af problemet og oplysninger om sårbarhedens indhold vil blive offentliggjort den 1. november.
Kilde: opennet.ru
