Der er udgivet en korrekturversion af den kryptografiske biblioteks OpenSSL 1.1.1j, der løser to sårbarheder:
- CVE-2021-23841 — dereferering af en nul-pointer i funktionen X509_issuer_and_serial_hash(), hvilket kan føre til nedbrud af applikationer, der kalder denne funktion til behandling af X509-certifikater med en ugyldig værdi i feltet issuer.
- CVE-2021-23840 — heltalsoverløb i funktionerne EVP_CipherUpdate, EVP_EncryptUpdate og EVP_DecryptUpdate, hvor resultatet kan være, at der returneres værdien 1, hvilket indikerer en vellykket operation, samtidig med at der sættes en negativ værdi med størrelse, hvilket kan medføre nedbrud af applikationer eller forstyrrelse af normal funktionalitet.
- CVE-2021-23839 — en mangelfuld implementering af beskyttelse mod nedrulning til brug af protokollen SSLv2. Forekommer kun i den ældre version 1.0.2.
Der er også udgivet en version af LibreSSL 3.2.4, hvor OpenBSD-projektet videreudvikler en fork af OpenSSL, der sigter mod at sikre et højere sikkerhedsniveau. Udgivelsen er bemærkelsesværdig ved at genindføre brugen af den gamle kode til verifikation af certifikater, der blev anvendt i LibreSSL 3.1.x, på grund af problemer med normal funktionalitet af nogle applikationer med bindinger for at omgå fejl i den gamle kode. Blandt nyhederne er tilføjelsen af implementeringer af komponenterne exporter og autochain i TLSv1.3.
Derudover er der udgivet en ny version af den kompakte kryptografiske bibliotekswolfSSL 4.7.0, optimeret til brug på indlejrede enheder med begrænsede CPU- og hukommelsesressourcer, såsom Internet of Things-enheder, smarte hjemsystemer, bilinformation systemer, routere og mobiltelefoner. Koden er skrevet i C og distribueres under GPLv2-licensen.
Den nye version har implementeret støtte til RFC 5705 (Keying Material Exporters for TLS) og S/MIME (Secure/Multipurpose Internet Mail Extensions). En flag "—enable-reproducible-build" er tilføjet for at sikre gentagelige builds. I lag for at sikre kompatibilitet med OpenSSL er API'erne SSL_get_verify_mode, X509_VERIFY_PARAM API og X509_STORE_CTX blevet tilføjet. Makro WOLFSSL_PSK_IDENTITY_ALERT er implementeret. En ny funktion _CTX_NoTicketTLSv12 tilføjes for at deaktivere sessionsbilletter TLS 1.2, men bevare dem for TLS 1.3.
Kilde: opennet.ru
