Na voljo je vzdrževalna izdaja kriptografske knjižnice OpenSSL 1.1.1j, ki odpravlja dve ranljivosti:
- CVE-2021-23841 je dereferenca kazalca NULL v funkciji X509_issuer_and_serial_hash(), ki lahko zruši aplikacije, ki kličejo to funkcijo za obravnavanje potrdil X509 z nepravilno vrednostjo v polju izdajatelja.
- CVE-2021-23840 je celoštevilski preliv v funkcijah EVP_CipherUpdate, EVP_EncryptUpdate in EVP_DecryptUpdate, ki lahko povzroči vrnitev vrednosti 1, kar kaže na uspešno operacijo, in nastavitev velikosti na negativno vrednost, kar lahko povzroči zrušitev ali motnje aplikacij normalno vedenje.
- CVE-2021-23839 je napaka pri izvajanju zaščite pred povrnitvijo za uporabo protokola SSLv2. Pojavi se samo v stari veji 1.0.2.
Objavljena je tudi izdaja paketa LibreSSL 3.2.4, v okviru katerega projekt OpenBSD razvija fork OpenSSL, namenjen zagotavljanju višje stopnje varnosti. Izdaja je znana po vrnitvi na staro kodo za preverjanje potrdila, uporabljeno v LibreSSL 3.1.x, zaradi prekinitve nekaterih aplikacij z vezavami za obhod napak v stari kodi. Med novostmi izstopa dodajanje implementacij komponent izvoznika in autochaina v TLSv1.3.
Poleg tega je bila izdana nova izdaja kompaktne kriptografske knjižnice wolfSSL 4.7.0, optimizirane za uporabo v vgrajenih napravah z omejenimi procesorji in pomnilniškimi viri, kot so naprave interneta stvari, sistemi pametnega doma, avtomobilski informacijski sistemi, usmerjevalniki in mobilni telefoni. . Koda je napisana v jeziku C in se distribuira pod licenco GPLv2.
Nova različica vključuje podporo za RFC 5705 (Keying Material Exporters for TLS) in S/MIME (Secure/Multipurpose Internet Mail Extensions). Dodana zastavica "--enable-reproducible-build" za zagotovitev ponovljivih gradenj. Sloju so bili dodani SSL_get_verify_mode API, X509_VERIFY_PARAM API in X509_STORE_CTX, da se zagotovi združljivost z OpenSSL. Implementiran makro WOLFSSL_PSK_IDENTITY_ALERT. Dodana je nova funkcija _CTX_NoTicketTLSv12 za onemogočanje vstopnic za sejo TLS 1.2, vendar jih ohrani za TLS 1.3.
Vir: opennet.ru