OpenSSL 暗号化ライブラリ 1.1.1j のメンテナンス リリースが利用可能になり、次の XNUMX つの脆弱性が修正されます。
- CVE-2021-23841 は、X509_issuer_and_serial_hash() 関数の NULL ポインター逆参照であり、発行者フィールドに不正な値を持つ X509 証明書を処理するためにこの関数を呼び出すアプリケーションがクラッシュする可能性があります。
- CVE-2021-23840 は、EVP_CipherUpdate、EVP_EncryptUpdate、EVP_DecryptUpdate 関数の整数オーバーフローであり、操作が成功したことを示す値 1 が返され、サイズが負の値に設定される可能性があり、これによりアプリケーションがクラッシュまたは中断される可能性があります。通常の動作。
- CVE-2021-23839 は、SSLv2 プロトコルを使用するためのロールバック保護の実装における欠陥です。 古いブランチ 1.0.2 にのみ表示されます。
LibreSSL 3.2.4 パッケージのリリースも公開されており、OpenBSD プロジェクトはより高いレベルのセキュリティを提供することを目的とした OpenSSL のフォークを開発しています。 このリリースでは、古いコードのバグを回避するためにバインディングを備えた一部のアプリケーションが機能しなくなったため、LibreSSL 3.1.x で使用されていた古い証明書検証コードに戻っていることが注目に値します。 イノベーションの中でも、TLSv1.3 へのエクスポーターとオートチェーン コンポーネントの実装の追加は際立っています。
さらに、コンパクトな暗号化ライブラリ wolfSSL 4.7.0 の新しいリリースがあり、モノのインターネット デバイス、スマート ホーム システム、自動車情報システム、ルーター、携帯電話など、プロセッサとメモリ リソースが限られた組み込みデバイスでの使用に最適化されました。 。 コードは C 言語で書かれており、GPLv2 ライセンスの下で配布されています。
新しいバージョンには、RFC 5705 (TLS 用のキーイング マテリアル エクスポーター) および S/MIME (セキュア/多目的インターネット メール拡張機能) のサポートが含まれています。 ビルドの再現性を確保するために「--enable-reproducible-build」フラグを追加しました。 OpenSSL との互換性を確保するために、SSL_get_verify_mode API、X509_VERIFY_PARAM API、および X509_STORE_CTX がレイヤーに追加されました。 マクロ WOLFSSL_PSK_IDENTITY_ALERT を実装しました。 TLS 12 セッション チケットを無効にし、TLS 1.2 用に保持する新しい関数 _CTX_NoTicketTLSv1.3 を追加しました。
出所： オープンネット.ru