Projektet LibreSSL har annonceret udgivelsen af version 4.3.0, som allerede er tilgængelig på OpenBSD-spejle.
Dette er en udviklingsudgivelse for version 4.3.x, så udviklerne opfordrer fællesskabet til aktiv testning. Der planlægges ikke yderligere ændringer af API og ABI i version 4.3.
Et af de vigtigste nye tiltag i denne version er støtten til den post-kvantiske nøgleudvekslingsmetode MLKEM768_X25519 i TLS i overensstemmelse med IETF-udkastet draft-ietf-tls-ecdhe-mlkem. En 'off-by-one'-fejl i dybdekontrol af X.509-certifikater er blevet rettet, hvilket kunne føre til overskrivning af 4 byte i hukommelsen, når man arbejder med ondsindet serveren eller når klientcertifikatkontrol er aktiveret. Den maksimale dybde er nu begrænset til 32. Problemet blev opdaget af Calif.io i samarbejde med Claude og Anthropic Research.
Interne forbedringer:
- Forældede kodefragmenter, der stammer fra understøttelse af SSLv2 og SSLv3/TLS 1.0, er blevet fjernet.
- ec_point_cmp() er blevet omskrevet.
- En hurtig sti til velkendte DH-primer er tilføjet i DH_check(), herunder tal fra RFC 7919.
Kompatibilitetsændringer:
- Mange ubrugte makroer BN_* med uinformative navne (BN_LONG, BN_BITS4, BN_MASK2 osv.) er blevet fjernet.
- openssl(1) cms accepterer ikke længere de unsupported -compress og -uncompress nøgler.
- Flaget PKCS7_NO_DUAL_CONTENT er blevet tilføjet for kompatibelt adfærd med nogle bindings sprog.
Fejlrettelser:
- Hukommelseslækager i CMS_EncryptedData_encrypt() og nref_nos() er blevet rettet.
- Kodningen af bitstrenge med afsluttende nuller er blevet rettet.
- Nedbrud ved parsing af PKCS#12 og timestamp-svar er blevet rettet.
- Flere fejl i libtls (længdekontrol, konsistens i fejlmeddelelser) er blevet rettet.
Andet:
- I libssl er der tilføjet støtte til RSASSA-PSS-algoritmen med OID.
- Funktionerne X509_VERIFY_PARAM_set_hostflags() og SSL_SESSION_dup() er blevet tilføjet til det offentlige API.
- BIGNUM bruger nu standard C99-typer (uint64_t/uint32_t), hvilket løser problemer på 64-bit Windows.
Kilde: linux.org.ru
