K dispozícii je oprava kryptografickej knižnice OpenSSL 1.1.1j, ktorá odstraňuje dve zraniteľnosti:
- CVE-2021-23841 — dereferencovanie null ukazovateľa vo funkcii X509_issuer_and_serial_hash(), čo môže viesť k havárii aplikácií, ktoré vyžadujú spracovanie certifikátov X509 s nesprávnou hodnotou v poli issuer.
- CVE-2021-23840 — pretečenie celého čísla vo funkciách EVP_CipherUpdate, EVP_EncryptUpdate a EVP_DecryptUpdate, výsledkom ktorého môže byť vrátenie hodnoty 1, čo znamená úspešné vykonanie operácie a nastavenie záporného hodnoty s veľkosťou, čo môže viesť k havárii aplikácií alebo k narušeniu normálneho správania.
- CVE-2021-23839 — nedostatok v implementácii ochrany proti návratu na použitie protokolu SSLv2. Vyskytuje sa len vo starej vetve 1.0.2.
Tiež bol vydaný balík LibreSSL 3.2.4, v rámci ktorého projekt OpenBSD rozvíja fork OpenSSL zameraný na poskytnutie vyššej úrovne bezpečnosti. Vydanie sa vyznačuje návratom k používaniu starého kódu na overovanie certifikátov, ktorý bol použitý v LibreSSL 3.1.x, kvôli narušeniu normálnej funkčnosti niektorých aplikácií s obmedzeniami na obchádzanie chýb v starom kóde. Medzi novinkami sa vyníma pridanie komponentov exporter a autochain do TLSv1.3.
Okrem toho bol vydaný nový balík kompaktné kryptografickej knižnice wolfSSL 4.7.0, optimalizovanej na použitie na zabudovaných zariadeniach s obmedzenými procesorovými a pamäťovými zdrojmi, ako sú zariadenia internetu vecí, inteligentné domáce systémy, automobilové informačné systémy, smerovače a mobilné telefóny. Kód je napísaný v jazyku C a je šírený pod licenciou GPLv2.
V novej verzii bola implementovaná podpora RFC 5705 (Vývozy kľúčových materiálov pre TLS) a S/MIME (Secure/Multipurpose Internet Mail Extensions). Pridaná možnosť „—enable-reproducible-build“ pre zabezpečenie opakovateľných zostavení. Do rozhrania pre kompatibilitu s OpenSSL boli pridané API SSL_get_verify_mode, X509_VERIFY_PARAM API a X509_STORE_CTX. Implementovaný makro WOLFSSL_PSK_IDENTITY_ALERT. Pridaná nová funkcia _CTX_NoTicketTLSv12 na zakázanie sedení lístkov TLS 1.2, ale ich zachovanie pre TLS 1.3.
Zdroj: opennet.ru
