Fedora 37 ditangguhkan selama dua minggu kerana kelemahan OpenSSL yang kritikal

Pembangun projek Fedora mengumumkan penangguhan pelepasan Fedora 37 kepada 15 November kerana keperluan untuk menghapuskan kelemahan kritikal dalam perpustakaan OpenSSL. Memandangkan data tentang intipati kelemahan akan didedahkan hanya pada 1 November dan tidak jelas berapa lama masa yang diperlukan untuk melaksanakan perlindungan dalam pengedaran, ia telah memutuskan untuk menangguhkan pengeluaran selama 2 minggu. Ini bukan kali pertama keluaran Fedora 37 dijangka pada 18 Oktober, tetapi ditangguhkan dua kali (ke 25 Oktober dan 1 November) kerana kegagalan memenuhi kriteria kualiti.

Pada masa ini, 3 isu kekal tidak dibetulkan dalam binaan ujian akhir dan diklasifikasikan sebagai menyekat keluaran. Sebagai tambahan kepada keperluan untuk membetulkan kerentanan dalam openssl, pengurus komposit kwin digantung apabila memulakan sesi KDE Plasma berasaskan Wayland apabila mod ditetapkan kepada nomodeset (grafik asas) dalam UEFI dan aplikasi kalendar gnome membeku apabila mengedit berulang. peristiwa.

Kerentanan kritikal dalam OpenSSL hanya menjejaskan cawangan 3.0.x; keluaran 1.1.1x tidak terjejas. Cawangan OpenSSL 3.0 telah digunakan dalam pengedaran seperti Ubuntu 22.04, CentOS Stream 9, RHEL 9, OpenMandriva 4.2, Gentoo, Fedora 36, ​​​​Debian Testing/Unstable. Dalam SUSE Linux Enterprise 15 SP4 dan openSUSE Leap 15.4, pakej dengan OpenSSL 3.0 tersedia secara pilihan, pakej sistem menggunakan cawangan 1.1.1. Debian 1, Arch Linux, Void Linux, Ubuntu 11, Slackware, ALT Linux, RHEL 20.04, OpenWrt, Alpine Linux 8 kekal pada cawangan OpenSSL 3.16.x.

Kerentanan diklasifikasikan sebagai kritikal; butiran belum lagi diberikan, tetapi dari segi keterukan masalahnya hampir dengan kerentanan Heartbleed yang sensasi. Tahap bahaya kritikal membayangkan kemungkinan serangan jauh pada konfigurasi standard. Masalah yang membawa kepada kebocoran jauh kandungan memori pelayan, pelaksanaan kod penyerang, atau kompromi kunci peribadi pelayan boleh diklasifikasikan sebagai kritikal. Tampalan OpenSSL 3.0.7 yang membetulkan masalah dan maklumat tentang sifat kerentanan akan diterbitkan pada 1 November.

Sumber: opennet.ru