Os desenvolvedores do projeto Fedora anunciaram o adiamento do lançamento do Fedora 37 para 15 de novembro devido à necessidade de corrigir uma vulnerabilidade crítica na biblioteca OpenSSL. Como as informações sobre a natureza da vulnerabilidade serão divulgadas apenas em 1º de novembro e não está claro quanto tempo será necessário para implementar a proteção na distribuição, decidiu-se adiar o lançamento em 2 semanas. Este não é o primeiro adiamento — inicialmente, o lançamento do Fedora 37 era esperado para 18 de outubro, mas foi adiado duas vezes (para 25 de outubro e 1º de novembro) devido ao não cumprimento dos critérios de qualidade.
Atualmente, permanecem sem correção nas compilações finais 3 problemas que foram considerados bloqueadores do lançamento. Além da necessidade de corrigir a vulnerabilidade no openssl, menciona-se um travamento do gerenciador de composição kwin ao iniciar uma sessão KDE Plasma baseada em Wayland com o modo nomodeset (gráfica básica) ativado no UEFI e o travamento do aplicativo gnome-calendar ao editar eventos recorrentes.
A vulnerabilidade crítica no OpenSSL afeta apenas a branch 3.0.x; as versões 1.1.1x não são vulneráveis. A branch OpenSSL 3.0 já está sendo utilizada em distribuições como Ubuntu 22.04, CentOS Stream 9, RHEL 9, OpenMandriva 4.2, Gentoo, Fedora 36, Debian Testing/Unstable. Nos pacotes SUSE Linux Enterprise 15 SP4 e openSUSE Leap 15.4, os pacotes com OpenSSL 3.0 estão disponíveis opcionalmente, enquanto os pacotes do sistema utilizam a branch 1.1.1. As branches OpenSSL 1.x incluem Debian 11, Arch Linux, Void Linux, Ubuntu 20.04, Slackware, ALT Linux, RHEL 8, OpenWrt, Alpine Linux 3.16.
A vulnerabilidade foi classificada como crítica; detalhes ainda não foram divulgados, mas, em termos de severidade, o problema é semelhante à conhecida vulnerabilidade Heartbleed. Um nível crítico de gravidade implica na possibilidade de um ataque remoto em configurações padrão. Problemas críticos podem incluir vazamentos remotos de conteúdo da memória, servidorexecução de código pelo invasor ou comprometimento de chaves privadas de servidor. A correção OpenSSL 3.0.7, com a resolução do problema e informações sobre a natureza da vulnerabilidade, será publicada em 1º de novembro.
Fonte: opennet.ru
