Megjelentek a Tor 0.4.8.25 és 0.4.9.8 javító kiadásai, amelyeket a Tor anonym hálózat működtetéséhez használnak. A Tor 0.4.9.8-as verzióban 6 sebezhetőséget szüntettek meg:
- TROVE-2026-011 — hiba, amely adatokat olvasott a pufferen kívüli területről a speciálisan formázott END, TRUNCATE és TRUNCATED cella üzenetek feldolgozása során;
- TROVE-2026-008 — hibás üzenetkezelés a BEGIN_DIR üzeneteknél a conflux mechanizmus használata során.
- TROVE-2026-010 — a conflux mechanizmusban a rendezetlen üzenetek sorának törlésekor helytelenül számolták újra a számlálókat és a állapotváltozókat.
- TROVE-2026-009 — a kliens összeomlása, amelyet dupla lánzárása okozott, amikor nem volt elég szabad memória a láncok sorának működtetéséhez.
- TROVE-2026-006 — nullapointer dereferálása, ami előfordulhatott egy speciálisan formázott CERT üzenet feldolgozása során.
- TROVE-2026-007 — olvasás a foglalt puffer területen kívül, ami a speciálisan formázott BEGIN üzenet feldolgozása során fordulhatott elő.
A Debian már kiadta a tor 0.4.9.8-0+deb13u1 csomag frissítését a disztribúció stabil verziójához, valamint a 0.4.9.8-1 frissítést a nem stabilhoz. A sebezhetőségek javításai benne foglaltak a Tor Browser 15.0.13 és a Tails 7.7.3 kiadásaiban.
Néhány nappal ezelőtt megjelent az Arti 2.3.0 kiadása, a Tor eszközkészlet Rust nyelven írt megvalósítása. Amikor az Arti kód eléri azt a szintet, ami teljesen helyettesíteni képes a C nyelvű verziót, a Tor fejlesztői szándékuk szerint az Arti-t a Tor fő megvalósításává kívánják tenni, és fokozatosan megszüntetni a C alapú megvalósítás támogatását. Az új verzióban fejlesztették a funkcionalitást a relék és szerverek katalógusok (Directory Authority) számára, új RPC API-t vezettek be a alagutak megfigyelésére, támogatják a naplók syslog-on keresztüli mentését, valamint bevezették a logging.protocol_warnings beállítást a protokoll tételhasználati figyelmeztetéseinek naplózásához.
Forrás: opennet.ru
