Fedora 37 tertunda dua minggu karena kerentanan kritis di OpenSSL

Pengembang proyek Fedora mengumumkan penundaan rilis Fedora 37 hingga 15 November karena kebutuhan untuk menghilangkan kerentanan kritis di perpustakaan OpenSSL. Karena data tentang esensi kerentanan baru akan diungkapkan pada tanggal 1 November dan tidak jelas berapa lama waktu yang diperlukan untuk menerapkan perlindungan dalam distribusi, maka diputuskan untuk menunda rilis selama 2 minggu. Ini bukan pertama kalinya tanggal rilis Fedora 37 diharapkan pada 18 Oktober, namun ditunda dua kali (hingga 25 Oktober dan 1 November) karena kegagalan memenuhi kriteria kualitas.

Saat ini, 3 masalah masih belum diperbaiki dalam versi pengujian akhir dan diklasifikasikan sebagai pemblokiran rilis. Selain kebutuhan untuk memperbaiki kerentanan di openssl, manajer komposit kwin hang saat memulai sesi KDE Plasma berbasis Wayland ketika mode diatur ke nomodeset (grafik dasar) di UEFI, dan aplikasi kalender gnome macet saat pengeditan berulang acara.

Kerentanan kritis di OpenSSL hanya mempengaruhi cabang 3.0.x; rilis 1.1.1x tidak terpengaruh. Cabang OpenSSL 3.0 sudah digunakan di distribusi seperti Ubuntu 22.04, CentOS Stream 9, RHEL 9, OpenMandriva 4.2, Gentoo, Fedora 36, ​​​​Debian Testing/Unstable. Di SUSE Linux Enterprise 15 SP4 dan openSUSE Leap 15.4, paket dengan OpenSSL 3.0 tersedia secara opsional, paket sistem menggunakan cabang 1.1.1. Debian 1, Arch Linux, Void Linux, Ubuntu 11, Slackware, ALT Linux, RHEL 20.04, OpenWrt, Alpine Linux 8 tetap berada di cabang OpenSSL 3.16.x.

Kerentanannya tergolong kritis; rinciannya belum diberikan, namun dari segi tingkat keparahan masalahnya mendekati kerentanan sensasional Heartbleed. Tingkat bahaya kritis menyiratkan kemungkinan serangan jarak jauh terhadap konfigurasi standar. Masalah yang menyebabkan kebocoran konten memori server dari jarak jauh, eksekusi kode penyerang, atau kompromi kunci pribadi server dapat diklasifikasikan sebagai masalah kritis. Patch OpenSSL 3.0.7 yang memperbaiki masalah dan informasi tentang sifat kerentanan akan dipublikasikan pada tanggal 1 November.

Sumber: opennet.ru