Razvijatlja projekta Fedora objavila su da se datum izlaska Fedora 37 premješta na 15. studenog zbog potrebe za ispravljanjem kritične ranjivosti u biblioteci OpenSSL. Budući da će informacije o prirodi ranjivosti biti objavljene tek 1. studenog, nije jasno koliko će vremena biti potrebno za implementaciju zaštite u distribuciji, odlučeno je da se izdanje odgodi za 2 tjedna. Ovo nije prvi put da se rokovi pomjeraju - izvorno objavljivanje Fedora 37 očekivalo se 18. listopada, ali je već dvaput odgođeno (na 25. listopada i 1. studenog) zbog neispunjavanja kriterija kvalitete.
Trenutno, u finalnim testnim verzijama ostaju neispravljena 3 problema koja su klasificirana kao blokirajući za izdanje. Osim potrebe za ispravljanjem ranjivosti u openssl-u, spominje se zamrzavanje kompozitnog menadžera kwin prilikom pokretanja sesije KDE Plasma na temelju Waylanda kad je postavljen način nomodeset (osnovna grafika) u UEFI i zamrzavanje aplikacije gnome-calendar prilikom uređivanja ponavljajućih događaja.
Kritična ranjivost u OpenSSL-u pogađa samo granu 3.0.x, dok izdanja 1.1.1x nisu podložna ranjivosti. Grana OpenSSL 3.0 već se koristi u distribucijama kao što su Ubuntu 22.04, CentOS Stream 9, RHEL 9, OpenMandriva 4.2, Gentoo, Fedora 36, Debian Testing/Unstable. U SUSE Linux Enterprise 15 SP4 i openSUSE Leap 15.4 paketi sa OpenSSL 3.0 dostupni su opcionalno, dok sistemski paketi koriste granu 1.1.1. Na granama OpenSSL 1.x ostaju Debian 11, Arch Linux, Void Linux, Ubuntu 20.04, Slackware, ALT Linux, RHEL 8, OpenWrt, Alpine Linux 3.16.
Ranjivost je klasificirana kao kritična, detalji za sada nisu objavljeni, ali po razini opasnosti problem je blizak poznatoj ranjivosti Heartbleed. Kritična razina opasnosti podrazumijeva mogućnost daljinskog napada na tipične konfiguracije. Kritične se mogu smatrati problemi koji dovode do daljinskih curenja sadržaja memorije poslužitelja, izvršavanja koda napadača ili kompromitacije zatvorenih ključeva poslužitelja. Ispravka OpenSSL 3.0.7 koja uklanja problem i informacije o prirodi ranjivosti bit će objavljene 1. studenog.
Izvor: opennet.ru
