A Fedora projekt fejlesztői bejelentették, hogy a Fedora 37 kiadását november 15-re halasztják el, mivel kritikus sebezhetőséget kell orvosolni az OpenSSL könyvtárban. Mivel a sebezhetőség részleteit csak november 1-jén hozzák nyilvánosságra, és nem világos, mennyi időre lesz szükség a védelem megvalósításához a disztribúcióban, úgy döntöttek, hogy két héttel elhalasztják a kiadást. Ez nem az első határidő eltérés – a Fedora 37 kiadását eredetileg október 18-ra várták, de kétszer is halasztották (október 25-re és november 1-re) a minőségi kritériumok nem teljesítése miatt.
Jelenleg a végső tesztverziókban 3 probléma maradt megoldatlan, amelyek blokkolják a kiadást. Az OpenSSL sebezhetőségén kívül említést nyer, hogy a KWin kompozit kezelő fagyása tapasztalható a Wayland alapú KDE Plasma munkamenet indításakor a nomodeset (alap grafika) üzemmód megadásakor az UEFI-ben, valamint a gnome-naptár alkalmazás fagyása ismétlődő események szerkesztésekor.
A kritikus sebezhetőség az OpenSSL-ben csak a 3.0.x ágat érinti, az 1.1.1x kiadások nem érintettek. Az OpenSSL 3.0 ágat már használják olyan disztribúciókban, mint az Ubuntu 22.04, CentOS Stream 9, RHEL 9, OpenMandriva 4.2, Gentoo, Fedora 36, Debian Testing/Unstable. A SUSE Linux Enterprise 15 SP4 és az openSUSE Leap 15.4 csomagjaiban az OpenSSL 3.0 opcióként érhető el, a rendszer csomagok az 1.1.1 ágat használják. Az OpenSSL 1.x ágon maradt Debian 11, Arch Linux, Void Linux, Ubuntu 20.04, Slackware, ALT Linux, RHEL 8, OpenWrt, Alpine Linux 3.16.
A sebezhetőséget kritikus kategóriába sorolják, a részleteket egyelőre nem hozzák nyilvánosságra, de a veszélyesség szintje közel áll a híres Heartbleed sebezhetőséghez. A kritikus veszélyességi szint azt jelenti, hogy távoli támadást lehet végrehajtani tipikus konfigurációkon. A kritikus problémák közé tartoznak azok, amelyek távoli memória tartalom kiszivárgásához vezetnek. a szerver, a támadó kódjának végrehajtásához, vagy a szerver zárt kulcsainak kompromittálásához. Az OpenSSL 3.0.7 javítást a probléma megoldásával és a sebezhetőség lényegével kapcsolatos információt november 1-jén teszik közzé.
Forrás: opennet.ru
