Il progetto LibreSSL ha annunciato il rilascio della versione 4.3.0, già disponibile nei mirror di OpenBSD.
Questo è un rilascio di sviluppo per il ramo 4.3.x, pertanto gli sviluppatori invitano la comunità a testarlo attivamente. Non sono previsti ulteriori cambiamenti all'API e all'ABI nel ramo 4.3.
La principale novità di questa versione è il supporto del metodo di scambio chiavi post-quantistico MLKEM768_X25519 in TLS, secondo la bozza dell'IETF draft-ietf-tls-ecdhe-mlkem. Risolto un errore «off-by-one» nel controllo della profondità del certificato X.509, che poteva portare a sovrascrivere 4 byte di memoria durante l'uso di codice malevolo server o con la verifica dei certificati client attivata. La profondità massima è ora limitata a 32. Il problema è stato scoperto da Calif.io in collaborazione con Claude e Anthropic Research.
Miglioramenti interni:
- Rimossi frammenti di codice obsoleti risalenti al supporto di SSLv2 e SSLv3/TLS 1.0.
- Rifatto ec_point_cmp().
- Aggiunto un percorso veloce in DH_check() per numeri primi DH ben noti, inclusi quelli RFC 7919.
Cambiamenti di compatibilità:
- Rimossi numerosi macro BN_* non utilizzati con nomi poco informativi (BN_LONG, BN_BITS4, BN_MASK2, ecc.).
- openssl(1) cms non accetta più chiavi non supportate -compress e -uncompress.
- Aggiunta la flag PKCS7_NO_DUAL_CONTENT per un comportamento compatibile con alcuni binding linguistici.
Correzioni di errori:
- Risolte perdite di memoria in CMS_EncryptedData_encrypt() e nref_nos().
- Corretto il codice delle stringhe di bit con zeri finali.
- Risolto un crash durante l'analisi di PKCS#12 e delle risposte timestamp.
- Corrette numerose vulnerabilità in libtls (controlli di lunghezza, coerenza dei messaggi di errore).
Altro:
- In libssl è stato aggiunto il supporto per l'algoritmo RSASSA-PSS con OID.
- Nell'API pubblica sono state aggiunte le funzioni X509_VERIFY_PARAM_set_hostflags() e SSL_SESSION_dup().
- BIGNUM ora utilizza i tipi standard C99 (uint64_t/uint32_t), risolvendo problemi su Windows a 64 bit.
Fonte: linux.org.ru
