Vývojári projektu Fedora oznámili odloženie vydania Fedory 37 na 15. novembra z dôvodu potreby opraviť kritickú zraniteľnosť v knižnici OpenSSL. Keďže povaha zraniteľnosti bude zverejnená až 1. novembra a nie je jasné, ako dlho bude trvať implementácia ochrany v distribúcii, vydanie bolo odložené o dva týždne. Nie je to prvýkrát, čo bolo vydanie odložené – Fedora 37 bola pôvodne naplánovaná na 18. októbra, ale bola dvakrát odložená (na 25. októbra a 1. novembra) z dôvodu nesplnenia kritérií kvality.
V súčasnosti zostávajú v finálnych testovacích zostaveniach neopravené tri problémy, ktoré sú klasifikované ako blokujúce vydanie. Okrem potreby opraviť zraniteľnosť openssl existujú hlásenia o zamrznutí správcu kompozície kwin pri spustení relácie KDE Plasma na Waylande s nastaveným režimom nomodeset (základná grafika) v UEFI a o zamrznutí aplikácie gnome-calendar pri úprave opakujúcich sa udalostí.
Kritická zraniteľnosť v OpenSSL sa týka iba vetvy 3.0.x; vydania 1.1.1x nie sú zraniteľné. Vetva OpenSSL 3.0 sa už používa v distribúciách ako napríklad Ubuntu 22.04, CentOS Stream 9, RHEL 9, OpenMandriva 4.2, Gentoo, Fedora 36, Debian Testovanie/Nestabilné. V SUSE Linux Balíky Enterprise 15 SP4 a openSUSE Leap 15.4 s OpenSSL 3.0 sú dostupné voliteľne, systémové balíky používajú vetvu 1.1.1. Vetvy OpenSSL 1.x zostávajú. Debian 11, Oblúk Linux, Prázdno Linux, Ubuntu 20.04. apríla, Slackware, ALT Linux, RHEL 8, OpenWrt, Alpine Linux 3.16.
Zraniteľnosť je klasifikovaná ako kritická; podrobnosti zatiaľ nie sú k dispozícii, ale jej úroveň závažnosti je podobná neslávne známej zraniteľnosti Heartbleed. Kritická úroveň závažnosti znamená možnosť vzdialených útokov na typické konfigurácie. Medzi kritické problémy môžu patriť aj problémy vedúce k vzdialeným únikom pamäte. server, spúšťanie kódu útočníka alebo kompromitovanie súkromných kľúčov servera. Oprava pre OpenSSL 3.0.7, ktorá problém opraví, a informácie o zraniteľnosti budú zverejnené 1. novembra.
Zdroj: opennet.ru
