Die Entwickler des Fedora-Projekts haben die Veröffentlichung von Fedora 37 auf den 15. November verschoben, um eine kritische Schwachstelle in der OpenSSL-Bibliothek zu beheben. Da die Details zur Schwachstelle erst am 1. November offengelegt werden, ist unklar, wie viel Zeit für die Implementierung des Schutzes im Distribution benötigt wird, weshalb beschlossen wurde, die Veröffentlichung um zwei Wochen zu verschieben. Dies ist nicht die erste Verschiebung — ursprünglich wurde die Veröffentlichung von Fedora 37 für den 18. Oktober erwartet, wurde jedoch zweimal verschoben (auf den 25. Oktober und 1. November), da die Qualitätskriterien nicht erfüllt wurden.
Aktuell bleiben in den finalen Testbuilds 3 Probleme, die als Veröffentlichung-blockierend eingestuft sind, ungelöst. Neben der Notwendigkeit zur Behebung der Schwachstelle in OpenSSL wird ein Einfrieren des Kompositormanagers KWin beim Start einer KDE Plasma-Sitzung unter Wayland bei aktivierter nomodeset (Basisgrafik)-Einstellung im UEFI sowie das Einfrieren der Anwendung gnome-calendar bei der Bearbeitung von wiederkehrenden Ereignissen erwähnt.
Die kritische Schwachstelle in OpenSSL betrifft nur die Version 3.0.x, die Versionen 1.1.1x sind nicht betroffen. Die OpenSSL 3.0-Version wird bereits in Distributionen wie Ubuntu 22.04, CentOS Stream 9, RHEL 9, OpenMandriva 4.2, Gentoo, Fedora 36 und Debian Testing/Unstable verwendet. In SUSE Linux Enterprise 15 SP4 und openSUSE Leap 15.4 sind Pakete mit OpenSSL 3.0 optional erhältlich, die Systempakete verwenden die Version 1.1.1. Die Versionen 1.x von OpenSSL bleiben in Debian 11, Arch Linux, Void Linux, Ubuntu 20.04, Slackware, ALT Linux, RHEL 8, OpenWrt und Alpine Linux 3.16 verfügbar.
Die Schwachstelle wird als kritisch eingestuft, Details werden bisher nicht bekannt gegeben, jedoch ist das Gefahrenniveau vergleichbar mit der berüchtigten Heartbleed-Schwachstelle. Ein kritisches Gefahrenniveau impliziert die Möglichkeit eines Remote-Angriffs auf Standardkonfigurationen. Zu den kritischen Problemen zählen solche, die zu einer Remote-Datenleckage aus dem Arbeitsspeicher führen. Server, zu einer Ausführung von Angreifer-Code oder zur Kompromittierung von Server-Schlüsseln. Das Update OpenSSL 3.0.7 zur Behebung des Problems sowie Informationen zur Schwachstelle werden am 1. November veröffentlicht.
Quelle: opennet.ru
