Korrekturversionen des Tor-Toolkits (0.3.5.11, 0.4.2.8, 0.4.3.6 und 4.4.2-alpha), die zur Organisation des anonymen Netzwerks Tor verwendet werden. In den neuen Versionen wurde behoben (CVE-2020-15572), die durch den Zugriff auf den Speicher außerhalb der Grenzen des zugewiesenen Puffers verursacht wurde. Diese Schwachstelle erlaubt es einem entfernten Angreifer, den Tor-Prozess zum Absturz zu bringen. Das Problem tritt nur auf, wenn es mit der NSS-Bibliothek gebaut wird (standardmäßig wird Tor mit OpenSSL gebaut, während die Verwendung von NSS das Setzen des Flags „—enable-nss“ erfordert).
Zusätzlich der Plan zur Einstellung der Unterstützung der zweiten Version des Onion-Service-Protokolls (früher als versteckte Dienste bezeichnet). Vor anderthalb Jahren wurde in der Version 0.3.2.9 den Nutzern die dritte Version des Onion-Service-Protokolls vorgestellt, die durch den Wechsel zu 56-Zeichen-Adressen, verbesserte Sicherheit gegen Datenlecks durch Verzeichnisserver, eine erweiterbare modulare Struktur und die Verwendung der Algorithmen SHA3, ed25519 und curve25519 anstelle von SHA1, DH und RSA-1024 bemerkenswert ist.
Die zweite Version des Protokolls wurde vor etwa 15 Jahren entwickelt und kann aufgrund der Verwendung veralteter Algorithmen unter modernen Bedingungen nicht als sicher angesehen werden. Angesichts des Ablaufs der Unterstützung für ältere Zweige unterstützt derzeit jedes aktuelle Tor-Gateway die dritte Version des Protokolls, die standardmäßig bei der Erstellung neuer Onion-Services angeboten wird.
Am 15. September 2020 wird Tor damit beginnen, Betreiber und Kunden über das Absterben der zweiten Version des Protokolls zu warnen. Am 15. Juli 2021 wird die Unterstützung der zweiten Version des Protokolls aus dem Code entfernt, und am 15. Oktober 2021 wird eine neue stabile Tor-Version ohne Unterstützung des alten Protokolls veröffentlicht. Somit haben die Besitzer älterer Onion-Services 16 Monate Zeit, um auf die neue Protokollversion umzusteigen, die die Generierung einer neuen 56-Zeichen-Adresse für den Dienst erfordert.
Quelle: opennet.ru
