نسخه تعمیر و نگهداری کتابخانه رمزنگاری OpenSSL 1.1.1j در دسترس است که دو آسیب پذیری را برطرف می کند:
- CVE-2021-23841 یک اشاره گر NULL در تابع X509_issuer_and_serial_hash () است، که می تواند برنامه هایی را که این تابع را برای رسیدگی به گواهی های X509 با مقدار نادرست در فیلد صادرکننده فراخوانی می کنند، خراب کند.
- CVE-2021-23840 یک سرریز عدد صحیح در توابع EVP_CipherUpdate، EVP_EncryptUpdate، و EVP_DecryptUpdate است که می تواند منجر به بازگرداندن مقدار 1، نشان دهنده موفقیت آمیز بودن عملیات و تنظیم اندازه بر روی یک مقدار منفی شود که می تواند باعث از کار افتادن یا خرابی برنامه ها شود. رفتار عادی
- CVE-2021-23839 یک نقص در اجرای حفاظت برگشتی برای استفاده از پروتکل SSLv2 است. فقط در شاخه قدیمی 1.0.2 ظاهر می شود.
انتشار بسته LibreSSL 3.2.4 نیز منتشر شده است که در آن پروژه OpenBSD در حال توسعه فورک OpenSSL با هدف ارائه سطح بالاتری از امنیت است. این نسخه به دلیل بازگشت به کد تأیید گواهی قدیمی مورد استفاده در LibreSSL 3.1.x به دلیل شکستگی در برخی از برنامه‌ها با اتصالات برای رفع اشکالات در کد قدیمی قابل توجه است. در میان نوآوری ها، اضافه شدن پیاده سازی اجزای صادرکننده و اتوچین به TLSv1.3 خودنمایی می کند.
علاوه بر این، نسخه جدیدی از کتابخانه رمزنگاری فشرده wolfSSL 4.7.0 منتشر شد که برای استفاده در دستگاه‌های تعبیه‌شده با منابع پردازنده و حافظه محدود، مانند دستگاه‌های اینترنت اشیا، سیستم‌های خانه هوشمند، سیستم‌های اطلاعات خودرو، روترها و تلفن‌های همراه بهینه شده است. . کد به زبان C نوشته شده و تحت مجوز GPLv2 توزیع شده است.
نسخه جدید شامل پشتیبانی از RFC 5705 (Keying Material Exporters for TLS) و S/MIME (برنامه های افزودنی اینترنتی ایمن/چند منظوره) می باشد. پرچم "--enable-reproducible-build" اضافه شد تا از ساخت های قابل تکرار اطمینان حاصل شود. SSL_get_verify_mode API، X509_VERIFY_PARAM API و X509_STORE_CTX برای اطمینان از سازگاری با OpenSSL به لایه اضافه شده اند. ماکرو WOLFSSL_PSK_IDENTITY_ALERT پیاده سازی شد. یک تابع جدید _CTX_NoTicketTLSv12 برای غیرفعال کردن بلیط های جلسه TLS 1.2 اضافه کرد، اما آنها را برای TLS 1.3 حفظ کرد.
منبع: opennet.ru