Correcties voor de Tor-toolkit (0.3.5.11, 0.4.2.8, 0.4.3.6 en 4.4.2-alpha) die wordt gebruikt voor het opzetten van het anonieme Tor-netwerk. In de nieuwe versies zijn opgelost (CVE-2020-15572), veroorzaakt door een toegang tot het geheugen buiten de grenzen van de toegewezen buffer. De kwetsbaarheid stelt een aanvaller op afstand in staat om een crash van het tor-proces te initiƫren. Het probleem doet zich alleen voor bij de bouw met de NSS-bibliotheek (standaard wordt Tor gebouwd met OpenSSL, en het gebruik van NSS vereist het aangeven van de flag "--enable-nss").
Aanvullend plan voor het beƫindigen van de ondersteuning van de tweede versie van het onion-servicesprotocol (voorheen verborgen diensten genoemd). Anderhalf jaar geleden werd in release 0.3.2.9 aan gebruikers gemeld dat de derde versie van het onion-servicesprotocol is opmerkelijk door de overgang naar 56-teken adressen, verbeterde bescherming tegen datalekken via directoryservers, een uitbreidbare modulaire structuur en het gebruik van algoritmen zoals SHA3, ed25519 en curve25519 in plaats van SHA1, DH en RSA-1024.
De tweede versie van het protocol werd ongeveer 15 jaar geleden ontwikkeld en kan door het gebruik van verouderde algoritmen onder moderne omstandigheden niet als veilig worden beschouwd. Gezien het verstrijken van de ondersteuning voor oude takken, ondersteunt momenteel elke actuele Tor-gateway de derde versie van het protocol, dat standaard wordt aangeboden bij het creƫren van nieuwe onion-diensten.
Op 15 september 2020 zal Tor beginnen met het afgeven van waarschuwingen aan operators en klanten over de veroudering van de tweede versie van het protocol. Op 15 juli 2021 zal de ondersteuning voor de tweede versie van het protocol uit de codebasis worden verwijderd, en op 15 oktober 2021 zal er een nieuwe stabiele release van Tor verschijnen zonder ondersteuning voor het oude protocol. Dit geeft eigenaren van oude onion-diensten 16 maanden om over te stappen op de nieuwe versie van het protocol, die vereist dat voor de dienst een nieuw 56-teken adres wordt gegenereerd.
Bron: opennet.ru
