Ir pieejams OpenSSL kriptogrāfijas bibliotēkas 1.1.1j apkopes laidiens, kas novērš divas ievainojamības:
- CVE-2021-23841 ir NULL rādītāja atsauce funkcijā X509_issuer_and_serial_hash(), kas var avarēt lietojumprogrammas, kuras izsauc šo funkciju, lai apstrādātu X509 sertifikātus ar nepareizu vērtību izdevēja laukā.
- CVE-2021-23840 ir vesela skaitļa pārpilde funkcijās EVP_CipherUpdate, EVP_EncryptUpdate un EVP_DecryptUpdate, kuras rezultātā var tikt atgriezta vērtība 1, kas norāda uz veiksmīgu darbību un iestatītu lielumu uz negatīvu vērtību, kas var izraisīt lietojumprogrammu avāriju vai darbības traucējumus. normāla uzvedība.
- CVE-2021-23839 ir kļūda SSLv2 protokola atcelšanas aizsardzības ieviešanā. Parādās tikai vecajā filiālē 1.0.2.
Publicēts arī LibreSSL 3.2.4 pakotnes izlaidums, kura ietvaros OpenBSD projekts izstrādā OpenSSL fork, kura mērķis ir nodrošināt augstāku drošības līmeni. Laidiens ir ievērojams ar atgriešanos pie vecā sertifikāta verifikācijas koda, kas izmantots LibreSSL 3.1.x, jo dažās lietojumprogrammās ir pārtraukums ar saistījumiem, lai novērstu vecā koda kļūdas. Starp jauninājumiem izceļas eksportētāja un autoķēdes komponentu implementāciju pievienošana TLSv1.3.
Turklāt tika izdots jauns kompaktās kriptogrāfijas bibliotēkas wolfSSL 4.7.0 laidiens, kas optimizēts lietošanai iegultās ierīcēs ar ierobežotiem procesora un atmiņas resursiem, piemēram, lietiskā interneta ierīcēm, viedās mājas sistēmām, automobiļu informācijas sistēmām, maršrutētājiem un mobilajiem tālruņiem. . Kods ir rakstīts C valodā un tiek izplatīts saskaņā ar GPLv2 licenci.
Jaunā versija ietver atbalstu RFC 5705 (Keying Material Exporters for TLS) un S/MIME (Secure/Multipurpose Internet Mail Extensions). Pievienots karodziņš "--enable-reproducible-build", lai nodrošinātu reproducējamus būvējumus. Slānim ir pievienoti SSL_get_verify_mode API, X509_VERIFY_PARAM API un X509_STORE_CTX, lai nodrošinātu saderību ar OpenSSL. Ieviests makro WOLFSSL_PSK_IDENTITY_ALERT. Pievienota jauna funkcija _CTX_NoTicketTLSv12, lai atspējotu TLS 1.2 sesijas biļetes, bet saglabātu tās TLS 1.3.
Avots: opennet.ru