i rilasci correttivi degli strumenti Tor (0.3.5.11, 0.4.2.8, 0.4.3.6 e 4.4.2-alpha), utilizzati per organizzare il lavoro della rete anonima Tor. Nelle nuove versioni è stata risolta (CVE-2020-15572), causata dall'accesso a un'area di memoria al di fuori dei confini del buffer allocato. Questa vulnerabilità consente a un attaccante remoto di provocare un crash del processo tor. Il problema si manifesta solo quando è compilato con la libreria NSS (per impostazione predefinita, Tor viene compilato con OpenSSL, mentre l'uso di NSS richiede di specificare il flag “—enable-nss”).
Inoltre è previsto un piano per terminare il supporto della seconda versione del protocollo dei servizi onion (precedentemente noti come servizi nascosti). Un anno e mezzo fa, nella versione 0.3.2.9, agli utenti è stata la terza versione del protocollo per i servizi onion, caratterizzata dal passaggio a indirizzi di 56 caratteri, una protezione più robusta contro le perdite di dati attraverso i server dei direttori, una struttura modulare espandibile e l'uso di algoritmi SHA3, ed25519 e curve25519 al posto di SHA1, DH e RSA-1024.
La seconda versione del protocollo è stata sviluppata circa 15 anni fa e, a causa dell'uso di algoritmi obsoleti, non può essere considerata sicura nelle attuali condizioni. Considerando la scadenza del supporto per i vecchi rami, attualmente qualsiasi gateway Tor aggiornato supporta la terza versione del protocollo, che è offerta per impostazione predefinita durante la creazione di nuovi servizi onion.
Il 15 settembre 2020, Tor inizierà a emettere avvisi agli operatori e ai clienti riguardo l'obsolescenza della seconda versione del protocollo. Il 15 luglio 2021, il supporto per la seconda versione del protocollo sarà rimosso dal codice sorgente, e il 15 ottobre 2021 verrà rilasciata una nuova versione stabile di Tor senza supporto per il vecchio protocollo. Pertanto, i proprietari dei vecchi servizi onion hanno 16 mesi per passare alla nuova versione del protocollo, che richiede la generazione di un nuovo indirizzo di 56 caratteri per il servizio.
Fonte: opennet.ru
