corrigerende releases van de Tor-toolkit (0.3.5.11, 0.4.2.8, 0.4.3.6 en 4.4.2-alpha), gebruikt om de werking van het anonieme Tor-netwerk te organiseren. Uitgeschakeld in nieuwe versies (CVE-2020-15572), veroorzaakt door toegang tot geheugen buiten de grenzen van de toegewezen buffer. Door de kwetsbaarheid kan een aanvaller op afstand het Tor-proces laten crashen. Het probleem doet zich alleen voor bij het bouwen met de NSS-bibliotheek (Tor wordt standaard gebouwd met OpenSSL, en voor het gebruik van NSS moet de vlag "-enable-nss" worden opgegeven).
bovendien zijn van plan de ondersteuning voor de tweede versie van het uienservicesprotocol (voorheen verborgen services genoemd) stop te zetten. Anderhalf jaar geleden, in release 0.3.2.9, hadden gebruikers dat wel de derde versie van het protocol voor uienservices, opmerkelijk door de overgang naar adressen van 56 tekens, betrouwbaardere bescherming tegen datalekken via directoryservers, een uitbreidbare modulaire structuur en het gebruik van SHA3-, ed25519- en curve25519-algoritmen in plaats van SHA1-, DH- en RSA-1024.
De tweede versie van het protocol is ongeveer 15 jaar geleden ontwikkeld en kan vanwege het gebruik van verouderde algoritmen onder moderne omstandigheden niet als veilig worden beschouwd. Rekening houdend met het aflopen van de ondersteuning voor oude branches ondersteunt momenteel elke huidige Tor-gateway de derde versie van het protocol, die standaard wordt aangeboden bij het maken van nieuwe uienservices.
Op 15 september 2020 begint Tor operators en klanten te waarschuwen voor de beëindiging van de tweede versie van het protocol. Op 15 juli 2021 wordt de ondersteuning voor de tweede versie van het protocol uit de codebase verwijderd en op 15 oktober 2021 wordt een nieuwe stabiele release van Tor uitgebracht zonder ondersteuning voor het oude protocol. Eigenaren van oude uiendiensten hebben dus 16 maanden de tijd om over te stappen naar een nieuwe versie van het protocol, waarvoor een nieuw adres van 56 tekens voor de dienst moet worden gegenereerd.
Bron: opennet.ru