atualizações corretivas da ferramenta Tor (0.3.5.11, 0.4.2.8, 0.4.3.6 e 4.4.2-alpha), utilizada para operar a rede anônima Tor. Nas novas versões, foi corrigido (CVE-2020-15572), que se origina de acessos a áreas de memória fora dos limites do buffer alocado. A vulnerabilidade permite que um atacante remoto inicie a falha do processo tor. O problema se manifesta apenas quando compilado com a biblioteca NSS (por padrão, o Tor é compilado com OpenSSL, e o uso do NSS requer a indicação da flag "—enable-nss").
Além disso plano para descontinuar o suporte à segunda versão do protocolo de serviços onion (anteriormente chamados de serviços ocultos). Há um ano e meio, na versão 0.3.2.9, os usuários foram apresentados à terceira versão do protocolo para serviços onion, que se destaca pela transição para endereços de 56 caracteres, proteção mais robusta contra vazamentos de dados por meio de servidores de diretório, uma estrutura modular expansível e o uso dos algoritmos SHA3, ed25519 e curve25519 em vez de SHA1, DH e RSA-1024.
A segunda versão do protocolo foi desenvolvida há cerca de 15 anos e, devido ao uso de algoritmos desatualizados, não pode ser considerada segura nas condições atuais. Com o fim do suporte a ramos antigos, atualmente qualquer gateway Tor atual suporta a terceira versão do protocolo, que é oferecida por padrão ao criar novos serviços onion.
No dia 15 de setembro de 2020, o Tor começará a alertar operadores e clientes sobre a obsolescência da segunda versão do protocolo. Em 15 de julho de 2021, o suporte à segunda versão do protocolo será retirado do código-fonte, e em 15 de outubro de 2021, será lançada uma nova versão estável do Tor sem suporte ao protocolo antigo. Assim, os proprietários de antigos serviços onion terão 16 meses para migrar para a nova versão do protocolo, que requer a geração de um novo endereço de 56 caracteres para o serviço.
Fonte: opennet.ru
