Tor 0.4.8.25 ja 0.4.9.8 värskendused turvaaukude kõrvaldamiseks. Arti 2.3.0 väljalaskmine.

Avaldasime Tor 0.4.8.25 ja 0.4.9.8 tööriistakomplekti paranduste versioonid, mida kasutatakse anonüümse Tor võrgu käitamiseks. Versioonis Tor 0.4.9.8 on likvideeritud 6 haavatavust:

• TROVE-2026-011 — viga, mis viis andmete lugemiseni mäluala väljast, kui töödeldakse spetsiaalselt vormindatud sõnumeid (cell) END, TRUNCATE ja TRUNCATED;
• TROVE-2026-008 — vale sõnumite BEGIN_DIR töötlemine conflux mehhanismi kasutamisel.
• TROVE-2026-010 — conflux mehhanismis, kui puhastatakse loendi järjestamata sõnumeid, arvutati loendurid ja olekumuutujad valesti.
• TROVE-2026-009 — kliendi kokkukukkumine, mis on põhjustatud kettide topelt sulgemisest tingimustes, kus mälukaartidesse ei jätku vaba mälu.
• TROVE-2026-006 — nullviidendi dereferentseerimine, mis võib tekkida spetsiaalselt vormindatud sõnumite CERT töötlemisel.
• TROVE-2026-007 — andmete lugemine väljaspool eraldatud mäluala, mis tekib spetsiaalselt vormindatud sõnumi BEGIN töötlemisel.

Debian on juba välja andnud tor 0.4.9.8-0+deb13u1 paketi värskenduse stabiilse versiooni jaoks ja 0.4.9.8-1 ebastabiilse jaoks. Haavatavuste parandused on sisaldunud Tor Browser 15.0.13 ja Tails 7.7.3 väljaannetes.

Mõned päevad tagasi ilmus ka Arti 2.3.0 väljaanne, mis on Tor'i tööriistakits, kirjutatud Rust keeles. Kui Arti kood saavutab taseme, mis suudab täielikult asendada C keeles kirjutatud versiooni, kavatsevad Tor'i arendajad tõsta Arti peamiseks Tor'i rakenduseks ja järk-järgult lõpetada C versiooni hooldamise. Uues versioonis on edasi arendatud funktsionaalsust sõlmede ja serverite direktorite (Directory Authority), on lisatud uus RPC API tunnelite kontrollimiseks, samuti on lisatud tugi logide salvestamiseks läbi syslog ja seadistuse logging.protocol_warnings, et kajastada logis protokolli vale kasutamise hoiatusi.

Allikas: opennet.ru