Die Updates Tor 0.4.8.25 und 0.4.9.8 beheben Schwachstellen. Veröffentlichung von Arti 2.3.0

Die korrigierenden Versionen der Tor-Tools 0.4.8.25 und 0.4.9.8, die zur Organisation des Betriebs des anonymen Netzwerks Tor verwendet werden, wurden veröffentlicht. In der Version Tor 0.4.9.8 wurden 6 Sicherheitsanfälligkeiten behoben:

• TROVE-2026-011 — ein Fehler, der zum Lesen von Daten außerhalb des Puffers führte, bei der Verarbeitung speziell gestalteter Nachrichten (cell) END, TRUNCATE und TRUNCATED;
• TROVE-2026-008 — fehlerhafte Verarbeitung von BEGIN_DIR-Nachrichten bei Verwendung des Conflux-Mechanismus.
• TROVE-2026-010 — im Conflux-Mechanismus wurden bei der Bereinigung der Warteschlange von ungeordneten Nachrichten die Zähler und Statusvariablen falsch neu berechnet.
• TROVE-2026-009 — Absturz des Clients, verursacht durch das doppelte Schließen einer Kette bei unzureichendem freien Speicher für den Betrieb von Warteschlangen.
• TROVE-2026-006 — Dereferenzierung eines Nullzeigers, die bei der Verarbeitung einer speziell gestalteten CERT-Nachricht auftreten kann.
• TROVE-2026-007 — Lesen aus einem Bereich außerhalb des zugewiesenen Puffers, das bei der Verarbeitung einer speziell gestalteten BEGIN-Nachricht auftritt.

Debian hat bereits ein Update des Pakets tor 0.4.9.8-0+deb13u1 für die stabile Version des Distributions und 0.4.9.8-1 für die instabile Version veröffentlicht. Die Sicherheitskorrekturen wurden in die Releases von Tor Browser 15.0.13 und Tails 7.7.3 aufgenommen.

Vor einigen Tagen wurde auch das Release von Arti 2.3.0 veröffentlicht, einer Implementierung der Tor-Tools, die in Rust geschrieben ist. Wenn der Arti-Code das Niveau erreicht, das ihn vollständig als Ersatz für die C-Version qualifiziert, beabsichtigen die Tor-Entwickler, Arti als Hauptimplementierung von Tor zu etablieren und nach und nach die C-Implementierung nicht mehr zu unterstützen. In der neuen Version wurde die Funktionalität für Relays und Server Verzeichnisse (Directory Authority) weiterentwickelt, eine neue RPC-API zum Überwachen von Tunneln hinzugefügt, die Unterstützung für das Speichern von Protokollen über syslog bereitgestellt und die Konfiguration logging.protocol_warnings hinzugefügt, um Protokollwarnungen über unsachgemäße Verwendung des Protokolls im Log festzuhalten.

Quelle: opennet.ru