{"id":99182,"date":"2021-02-17T22:22:46","date_gmt":"2021-02-17T20:22:46","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/obnovlenie-openssl-1-1-1j-wolfssl-4-7-0-i-libressl-3-2-4"},"modified":"2021-02-17T22:22:46","modified_gmt":"2021-02-17T20:22:46","slug":"obnovlenie-openssl-1-1-1j-wolfssl-4-7-0-i-libressl-3-2-4","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/obnovlenie-openssl-1-1-1j-wolfssl-4-7-0-i-libressl-3-2-4","title":{"rendered":"Aktualisierung von OpenSSL 1.1.1j, wolfSSL 4.7.0 und LibreSSL 3.2.4","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Die korrigierte Version der kryptographischen Bibliothek OpenSSL 1.1.1j steht zur Verf\u00fcgung, in der zwei Sicherheitsanf\u00e4lligkeiten behoben wurden: <\/p>\n
\n
CVE-2021-23841 \u2014 Dereferenzierung eines Nullzeigers in der Funktion X509_issuer_and_serial_hash(), was zu einem Absturz von Anwendungen f\u00fchren kann, die diese Funktion zur Verarbeitung von X509-Zertifikaten mit einem ung\u00fcltigen Wert im Feld issuer aufrufen.\n
CVE-2021-23840 \u2014 Ganzzahl\u00fcberlauf in den Funktionen EVP_CipherUpdate, EVP_EncryptUpdate und EVP_DecryptUpdate, was dazu f\u00fchren kann, dass der R\u00fcckgabewert 1, was eine erfolgreiche Durchf\u00fchrung der Operation bedeutet, und ein negativer Wert f\u00fcr die Gr\u00f6\u00dfe gesetzt wird, was zu Abst\u00fcrzen von Anwendungen oder einer Beeintr\u00e4chtigung des normalen Verhaltens f\u00fchren kann.\n
CVE-2021-23839 \u2014 Mangel in der Implementierung des Rollback-Schutzes f\u00fcr das SSLv2-Protokoll. Tritt nur im alten Branch 1.0.2 auf. <\/ul>\n
Ebenfalls ver\u00f6ffentlicht wurde die Version des Pakets LibreSSL 3.2.4, im Rahmen derer das OpenBSD-Projekt einen Fork von OpenSSL weiterentwickelt, der auf ein h\u00f6heres Sicherheitsniveau abzielt. Die Ver\u00f6ffentlichung ist bemerkenswert durch die R\u00fcckkehr zur Verwendung alten Codes zur Zertifikats\u00fcberpr\u00fcfung, der in LibreSSL 3.1.x verwendet wurde, aufgrund von Fehlfunktionen einiger Anwendungen mit Bindungen zur Umgehung von Fehlern im alten Code. Zu den Neuerungen geh\u00f6rt die Hinzuf\u00fcgung von Implementierungen der Komponenten exporter und autochain zu TLSv1.3. <\/p>\n
Dar\u00fcber hinaus wurde eine neue Version der kompakten kryptographischen Bibliothek wolfSSL 4.7.0 ver\u00f6ffentlicht, die f\u00fcr den Einsatz auf Embedded-Ger\u00e4ten mit begrenzten Prozessor- und Speicherressourcen optimiert ist, wie Internet-of-Things-Ger\u00e4te, Smart-Home-Systeme, Automotive-Informationssysteme, Router und Mobiltelefone. Der Code ist in C geschrieben und wird unter der GPLv2-Lizenz vertrieben. <\/p>\n
In der neuen Version wurde die Unterst\u00fctzung f\u00fcr RFC 5705 (Keying Material Exporters for TLS) und S\/MIME (Secure\/Multipurpose Internet Mail Extensions) implementiert. Ein Flag \u2014enable-reproducible-build wurde hinzugef\u00fcgt, um reproduzierbare Builds zu gew\u00e4hrleisten. F\u00fcr die Kompatibilit\u00e4t mit OpenSSL wurden die APIs SSL_get_verify_mode, X509_VERIFY_PARAM-API und X509_STORE_CTX hinzugef\u00fcgt. Der Makro WOLFSSL_PSK_IDENTITY_ALERT wurde implementiert. Eine neue Funktion _CTX_NoTicketTLSv12 wurde hinzugef\u00fcgt, um Sitzungstickets f\u00fcr TLS 1.2 zu deaktivieren, w\u00e4hrend sie f\u00fcr TLS 1.3 erhalten bleiben. \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"