OpenSSL 1.1.1j, wolfSSL 4.7.0 ja LibreSSL 3.2.4 uuendamine

Saadaval on OpenSSL 1.1.1j krüptograafia teegi korrektsioonia väljalase, milles on likvideeritud kaks haavatavust:

• CVE-2021-23841 — tühja näitaja dereferentseerimine funktsioonis X509_issuer_and_serial_hash(), mis võib põhjustada rakenduste kokkuvarisemise, kui need kutsuvad seda funktsiooni X509 sertifikaatide töötlemiseks, mille issuer väli on vale väärtusega.
• CVE-2021-23840 — täisarvude ülevool funktsioonides EVP_CipherUpdate, EVP_EncryptUpdate ja EVP_DecryptUpdate, mille tulemuseks võib olla väärtuse 1 tagastamine, mis tähendab operatsiooni eduka lõpuleviimist, ja negatiivse suuruse seadmine, mis võib põhjustada rakenduste kokkuvarisemise või normaalsete toimingute riknemise.
• CVE-2021-23839 — puudujääk SSLv2 protokolli kasutusele võtva kaitse elluviimisel. Ilmneb ainult vanas haruversioonis 1.0.2.

Samuti on avaldatud LibreSSL 3.2.4 paketi versioon, mille raames arendab OpenBSD projekt OpenSSL'i haru, mille eesmärk on pakkuda kõrgemat turvalisuse taset. Avaldamine on tähelepanuväärne, kuna vanade sertifikaatide kontrollimise koodi tagasipöördumine LibreSSL 3.1.x-st, sest see häiris mõnede rakenduste normaalset toimimist, mis tuginesid vanade koodifragmentide vigade ümberhüpetele. Uuendustest tuleb esile tuua TLSv1.3 komponentide exporter ja autochain implementatsioonide lisamine.

Lisaks ilmus uus wolfSSL 4.7.0 kompaktne krüptograafia teek, mis on optimeeritud töötamiseks väikeettevõtete seadmetes, millel on piiratud protsessori ja mälu ressursid, näiteks asjade interneti seadmed, nutikodu süsteemid, autoinformatsioonisüsteemid, ruuterid ja mobiiltelefonid. Kood on kirjutatud C keeles ja seda levitatakse GPLv2 litsentsi alusel.

Uues versioonis on rakendatud RFC 5705 (TLS-i võtmehalduse eksportöörid) ja S/MIME (turvalised/mitmekesised Interneti meililaiendid). Lisatud on lipp „—enable-reproducible-build”, et tagada korduvate ehituste saamine. OpenSSL-iga ühilduvuse tagamiseks on lisatud API-d SSL_get_verify_mode, X509_VERIFY_PARAM API ja X509_STORE_CTX. Rakendatud on makro WOLFSSL_PSK_IDENTITY_ALERT. Uus funktsioon _CTX_NoTicketTLSv12 on lisatud TLS 1.2 sessioonipiletite keelamiseks, samas kui sessioonipiletid TLS 1.3 jaoks jäävad alles.

Allikas: opennet.ru