OpenSSL 1.1.1j, wolfSSL 4.7.0 ja LibreSSL 3.2.4 uuendamine

Avatud on parandusväljaanne krüptograafia raamatukogust OpenSSL 1.1.1j, mis lahendab kaks haavatavust:

• CVE-2021-23841 - null viit de-referentseerimine funktsioonis X509_issuer_and_serial_hash(), mis võib põhjustada rakenduste kokkuvarisemise, mis kutsub seda funktsiooni X509 sertifikaatide töötlemiseks, mille issuer väljal on vale väärtus.
• CVE-2021-23840 - täisarvude ülevool funktsioonides EVP_CipherUpdate, EVP_EncryptUpdate ja EVP_DecryptUpdate, mille tulemuseks võib olla 1 tagastamine, mis tähendab operatsiooni eduka täitmise ning negatiivse suuruse seadmine, mis võib põhjustada rakenduste kokkuvarisemise või normaalsete toimingute rikkumist.
• CVE-2021-23839 - puudujääk SSLv2 protokolli tagasikäigu kaitse rakenduses. Esineb ainult vanas versioonis 1.0.2.

Samuti on välja antud LibreSSL 3.2.4 pakett, mille raames OpenBSD projekt arendab OpenSSL-i fork'i, mille eesmärk on tagada kõrgem turvataseme. Väljaanne on märkimisväärne sertifikaatide valideerimise vana koodi taaskehtestamise poolest LibreSSL 3.1.x-s, kuna see kahjustas mõnede rakenduste normaalset toimimist, millel olid vigade kõrvaldamise sidurid vanas koodis. Uute omaduste hulgast on TLSv1.3-s lisatud komponentide eksportija ja autochain rakendused.

Lisaks on ilmunud uus kerge krüptograafia raamatukogu wolfSSL 4.7.0, mis on optimeeritud kasutamiseks ressursside piirangutega seadmetes, nagu asjade interneti seadmed, nutikad kodusüsteemid, autoinfotehnoloogiad, ruuteri ja mobiiltelefonid. Kood on kirjutatud C keeles ja levitatakse GPLv2 litsentsi alusel.

Uues versioonis on rakendatud RFC 5705 (Keying Material Exporters for TLS) ja S/MIME (Secure/Multi-purpose Internet Mail Extensions) tugi. Lisatud lipp „--enable-reproducible-build“ korduvate kogumiste tagamiseks. OpenSSL-iga ühilduvuse tagamiseks lisatakse API-d SSL_get_verify_mode, X509_VERIFY_PARAM API ja X509_STORE_CTX. Rakendatud on makro WOLFSSL_PSK_IDENTITY_ALERT. Uus funktsioon _CTX_NoTicketTLSv12 on lisatud TLS 1.2 sessioonitiikide keelamiseks, kuid nende säilitamiseks TLS 1.3 jaoks.

Allikas: opennet.ru