Está disponível uma versão de correção da biblioteca criptográfica OpenSSL 1.1.1j, que resolve duas vulnerabilidades:
- CVE-2021-23841 — desreferência de ponteiro nulo na função X509_issuer_and_serial_hash(), que pode levar a falhas nos aplicativos que chamam essa função para processar certificados X509 com um valor inválido no campo issuer.
- CVE-2021-23840 — estouro inteiro nas funções EVP_CipherUpdate, EVP_EncryptUpdate e EVP_DecryptUpdate, cujo resultado pode ser a devolução do valor 1, indicando sucesso na operação, e a definição de um valor negativo no tamanho, o que pode levar a falhas nos aplicativos ou comportamento anômalo.
- CVE-2021-23839 — um descuido na implementação da proteção contra retrocesso no uso do protocolo SSLv2. Manifesta-se apenas na antiga ramificação 1.0.2.
Também foi lançada a versão do pacote LibreSSL 3.2.4, no qual o projeto OpenBSD desenvolve um fork do OpenSSL, visando um nível mais alto de segurança. O lançamento se destaca pela volta ao uso do antigo código de verificação de certificados, utilizado no LibreSSL 3.1.x, devido a problemas de funcionamento de alguns aplicativos com correções para contornar erros no código antigo. Entre as novidades, destaca-se a adição de implementações de componentes exporter e autochain no TLSv1.3.
Além disso, foi lançado um novo versionamento da biblioteca criptográfica compacta wolfSSL 4.7.0, otimizada para uso em dispositivos embutidos com recursos limitados de CPU e memória, como dispositivos de Internet das Coisas, sistemas de automação residencial, sistemas de informação automotivos, roteadores e telefones móveis. O código é escrito em C e é distribuído sob a licença GPLv2.
Na nova versão, foi implementado suporte ao RFC 5705 (Exportadores de Material de Chave para TLS) e S/MIME (Extensões de Correio Internet Seguro/Múltiplo). Adicionado o sinalizador "--enable-reproducible-build" para garantir builds reproduzíveis. Na camada de compatibilidade com OpenSSL foram adicionadas as APIs SSL_get_verify_mode, API X509_VERIFY_PARAM e X509_STORE_CTX. Foi implementado o macro WOLFSSL_PSK_IDENTITY_ALERT. Adicionada uma nova função _CTX_NoTicketTLSv12 para desativar tickets de sessão TLS 1.2, mantendo-os para TLS 1.3.
Fonte: opennet.ru
