Fedora 37 נדחה בשבועיים עקב פגיעות קריטית של OpenSSL

מפתחי פרויקט Fedora הודיעו על דחיית שחרורו של Fedora 37 ל-15 בנובמבר עקב הצורך בביטול פגיעות קריטית בספריית OpenSSL. מאחר שנתונים על מהות הפגיעות ייחשפו רק ב-1 בנובמבר ולא ברור כמה זמן ייקח להטמיע הגנה בהפצה, הוחלט לדחות את השחרור בשבועיים. זו לא הפעם הראשונה שתאריך השחרור של Fedora 2 היה צפוי ב-37 באוקטובר, אך נדחה פעמיים (ל-18 באוקטובר ול-25 בנובמבר) עקב אי עמידה בקריטריוני איכות.

נכון לעכשיו, 3 בעיות נותרו לא מתוקנות בבניית הבדיקה הסופית והן מסווגות כחסימות את המהדורה. בנוסף לצורך לתקן את הפגיעות ב-openssl, ה-Kwin Composite Manager נתקע בעת הפעלת הפעלה מבוססת Wayland KDE Plasma כאשר המצב מוגדר ל-nomodeset (גרפיקה בסיסית) ב-UEFI, ויישום gnome-calendar קופא בעת עריכה חוזרת אירועים.

הפגיעות הקריטית ב-OpenSSL משפיעה רק על ענף 3.0.x; מהדורות 1.1.1x אינן מושפעות. ענף OpenSSL 3.0 כבר נמצא בשימוש בהפצות כגון אובונטו 22.04, CentOS Stream 9, RHEL 9, OpenMandriva 4.2, Gentoo, Fedora 36, ​​Debian Testing/Unstable. ב-SUSE Linux Enterprise 15 SP4 וב-openSUSE Leap 15.4, חבילות עם OpenSSL 3.0 זמינות באופן אופציונלי, חבילות מערכת משתמשות בענף 1.1.1. Debian 1, Arch Linux, Void Linux, Ubuntu 11, Slackware, ALT Linux, RHEL 20.04, OpenWrt, Alpine Linux 8 נשארו בסניפי OpenSSL 3.16.x.

הפגיעות מסווגת כקריטית; פרטים עדיין לא נמסרו, אך מבחינת חומרת הבעיה קרובה לפגיעות Heartbleed המרעישה. רמה קריטית של סכנה מרמזת על אפשרות של התקפה מרחוק על תצורות סטנדרטיות. בעיות המובילות לדליפות מרחוק של תוכן זיכרון שרת, ביצוע של קוד תוקף או פגיעה במפתחות פרטיים של השרת יכולות להיות מסווגות כקריטיות. תיקון OpenSSL 3.0.7 המתקן את הבעיה ומידע על אופי הפגיעות יתפרסם ב-1 בנובמבר.

מקור: OpenNet.ru