Het LibreSSL-project heeft de release van versie 4.3.0 aangekondigd, die al beschikbaar is op de OpenBSD-spiegels.
Dit is een ontwikkelingsrelease voor de 4.3.x-tak, daarom roepen de ontwikkelaars de gemeenschap op tot actieve testen. Verdere API- en ABI-wijzigingen in de 4.3-tak zijn niet gepland.
De belangrijkste nieuwe functie in deze versie is de ondersteuning voor de post-kwantum sleuteluitwisselingsmethode MLKEM768_X25519 in TLS volgens de IETF-draft draft-ietf-tls-ecdhe-mlkem. Een 'off-by-one'-fout in de certificaatdieptecontrole X.509 is verholpen, wat kon leiden tot het overschrijven van 4 bytes in het geheugen bij het werken met kwaadaardige server of bij het inschakelen van de controle van clientcertificaten. De maximale diepte is nu beperkt tot 32. Het probleem werd ontdekt door Calif.io in samenwerking met Claude en Anthropic Research.
Interne verbeteringen:
- Verouderde codefragmenten, afkomstig uit de ondersteuning voor SSLv2 en SSLv3/TLS 1.0, zijn verwijderd.
- ec_point_cmp() is herschreven.
- Een snelle pad is toegevoegd aan DH_check() voor goed bekende DH-priemgetallen, inclusief getallen uit RFC 7919.
Compatibiliteitswijzigingen:
- Een groot aantal ongebruikte macro's BN_* met oninformatieve namen (BN_LONG, BN_BITS4, BN_MASK2, enz.) is verwijderd.
- openssl(1) cms accepteert geen niet-ondersteunde sleutels meer -compress en -uncompress.
- De vlag PKCS7_NO_DUAL_CONTENT is toegevoegd voor compatibel gedrag met bepaalde taalbindingen.
Foutcorrecties:
- Geheugenlekken in CMS_EncryptedData_encrypt() en nref_nos() zijn verholpen.
- De codering van bitstrings met afsluitende nullen is gecorrigeerd.
- Een crash tijdens de parsing van PKCS#12 en timestamp-antwoorden is verholpen.
- Verschillende fouten in libtls zijn gecorrigeerd (lengtecontroles, consistentie van foutmeldingen).
Overig:
- In libssl is ondersteuning voor het algoritme RSASSA-PSS met OID toegevoegd.
- Functies X509_VERIFY_PARAM_set_hostflags() en SSL_SESSION_dup() zijn toegevoegd aan de publieke API.
- BIGNUM gebruikt nu standaard C99-typen (uint64_t/uint32_t), wat problemen onder 64-bits Windows oplost.
Bron: linux.org.ru
