διορθωτικές εκδόσεις της εργαλειοθήκης Tor (0.3.5.11, 0.4.2.8, 0.4.3.6 και 4.4.2-alpha), που χρησιμοποιούνται για την οργάνωση της λειτουργίας του ανώνυμου δικτύου Tor. Καταργείται σε νέες εκδόσεις (CVE-2020-15572), που προκαλείται από την πρόσβαση στη μνήμη εκτός των ορίων του εκχωρημένου buffer. Η ευπάθεια επιτρέπει σε έναν απομακρυσμένο εισβολέα να προκαλέσει την κατάρρευση της διαδικασίας tor. Το πρόβλημα εμφανίζεται μόνο κατά τη δημιουργία με τη βιβλιοθήκη NSS (από προεπιλογή, το Tor είναι χτισμένο με OpenSSL και η χρήση NSS απαιτεί τον καθορισμό της σημαίας "-enable-nss").
επιπλέον σχεδιάζετε να διακόψετε την υποστήριξη για τη δεύτερη έκδοση του πρωτοκόλλου υπηρεσιών onion (προηγουμένως ονομαζόταν κρυφές υπηρεσίες). Πριν από ενάμιση χρόνο, στην έκδοση 0.3.2.9, οι χρήστες είχαν η τρίτη έκδοση του πρωτοκόλλου για υπηρεσίες onion, αξιοσημείωτη για τη μετάβαση σε διευθύνσεις 56 χαρακτήρων, πιο αξιόπιστη προστασία από διαρροές δεδομένων μέσω διακομιστών καταλόγου, μια επεκτάσιμη αρθρωτή δομή και τη χρήση αλγορίθμων SHA3, ed25519 και curve25519 αντί για SHA1, DH και RSA-1024.
Η δεύτερη έκδοση του πρωτοκόλλου αναπτύχθηκε πριν από περίπου 15 χρόνια και, λόγω της χρήσης απαρχαιωμένων αλγορίθμων, δεν μπορεί να θεωρηθεί ασφαλής στις σύγχρονες συνθήκες. Λαμβάνοντας υπόψη τη λήξη της υποστήριξης για παλιά υποκαταστήματα, προς το παρόν οποιαδήποτε τρέχουσα πύλη Tor υποστηρίζει την τρίτη έκδοση του πρωτοκόλλου, η οποία προσφέρεται από προεπιλογή κατά τη δημιουργία νέων υπηρεσιών onion.
Στις 15 Σεπτεμβρίου 2020, το Tor θα αρχίσει να προειδοποιεί τους χειριστές και τους πελάτες σχετικά με την κατάργηση της δεύτερης έκδοσης του πρωτοκόλλου. Στις 15 Ιουλίου 2021, η υποστήριξη για τη δεύτερη έκδοση του πρωτοκόλλου θα αφαιρεθεί από τη βάση κώδικα και στις 15 Οκτωβρίου 2021, μια νέα σταθερή έκδοση του Tor θα κυκλοφορήσει χωρίς υποστήριξη για το παλιό πρωτόκολλο. Έτσι, οι κάτοχοι παλιών υπηρεσιών onion έχουν 16 μήνες για να μεταβούν σε μια νέα έκδοση του πρωτοκόλλου, η οποία απαιτεί τη δημιουργία μιας νέας διεύθυνσης 56 χαρακτήρων για την υπηρεσία.
Πηγή: opennet.ru