Fedora 37 on nädal edasi lükatud kritilise turvaaugu tõttu OpenSSL-is

Fedora projekti arendajad on kuulutanud, et Fedora 37 väljaandmine lükatakse edasi 15. novembri peale, kuna on vajalik kõrvaldada kriitiline turvaauk OpenSSL teegis. Kuna teave turvaaugu olemuse kohta avalikustatakse alles 1. novembril ning ei ole selge, kui kaua läheb aega kaitse rakendamiseks distributsioonis, on otsustatud väljaande tähtaeg kahe nädala võrra edasi lükata. See ei ole esimene tähtaegade edasilükkamine — algselt oodati Fedora 37 väljaandmist 18. oktoobril, kuid seda on kaks korda edasi lükatud (25. oktoobrile ja 1. novembrile) kvaliteedikriteeriumide mittetäitmise tõttu.

Praegu jääb viimasest katsetamisest kolme probleemi lahendamine, mis on klassifitseeritud väljaande peatavateks. Peale OpenSSL-i turvaaugu kõrvaldamise peab tõstatuma probleem KDE Plasma sesiooni käivitamisel Waylandi põhjal, kui nomodeset (põhi graafika) režiim on seadistatud UEFI-s, ja gnome-calendar rakenduse hangumine korduvate sündmuste redigeerimisel.

Kriitiline turvaauk OpenSSL-is mõjutab ainult 3.0.x haru, väljaanded 1.1.1x ei ole haavatavad. OpenSSL 3.0 haru on juba kasutusel sellistes distributsioonides nagu Ubuntu 22.04, CentOS Stream 9, RHEL 9, OpenMandriva 4.2, Gentoo, Fedora 36, Debian Testing/Unstable. SUSE Linux Enterprise 15 SP4 ja openSUSE Leap 15.4 puhul on OpenSSL 3.0 paketid vabatahtlikud, sistemaatilised paketid kasutavad 1.1.1 haru. OpenSSL 1.x harudes jäävad Debian 11, Arch Linux, Void Linux, Ubuntu 20.04, Slackware, ALT Linux, RHEL 8, OpenWrt, Alpine Linux 3.16.

Turvaauk on klassifitseeritud kriitiliseks, üksikasju ei ole veel avaldatud, kuid probleem on ohtlikkuse taseme poolest sarnane kuulsale Heartbleed turvaaugule. Kriitiline oht viitab sellele, et ründaja suudab korraldada kaugteostusi tüüpiliste konfiguratsioonide suhtes. Kriitilised probleemid võivad hõlmata kaugjuhtimisega mälusisalduse lekitamist, ründaja koodi täitmist või serveri privaatsete võtmete kompromiteerimist. serverilt, ründaja koodi täitmist või serveri privaatsete võtmete kompromiteerimist. OpenSSL 3.0.7 parandamine, mis kõrvaldab probleemi, ja teave turvaaugu olemuse kohta avaldatakse 1. novembril.

Allikas: opennet.ru