Fedora 37 har blivit försenad med två veckor på grund av en kritisk sårbarhet i OpenSSL.

Utvecklarna av Fedora-projektet har meddelat att lanseringen av Fedora 37 skjuts upp till den 15 november på grund av behovet av att åtgärda en kritisk sårbarhet i OpenSSL-biblioteket. Eftersom detaljer om sårbarhetens art endast kommer att avslöjas den 1 november, och det är oklart hur lång tid det tar att implementera skyddet i distributionen, har man beslutat att skjuta upp utgivningen med två veckor. Detta är inte första gången tidsfristen skjuts upp; den ursprungliga lanseringen av Fedora 37 förväntades den 18 oktober, men har skjutits upp två gånger (till den 25 oktober och den 1 november) på grund av bristande kvalitetskriterier.

För närvarande kvarstår tre problem i de slutgiltiga testversionerna, som klassas som blockerande för utgivningen. Utöver behovet av att åtgärda sårbarheten i OpenSSL nämns att kompositormanagern KWin hänger sig när man startar en KDE Plasma-session baserad på Wayland i läget nomodeset (grundläggande grafik) i UEFI, samt att applikationen Gnome Calendar hänger sig när man redigerar återkommande händelser.

Den kritiska sårbarheten i OpenSSL berör endast version 3.0.x; versionerna 1.1.1x är inte sårbara. OpenSSL 3.0 används redan i distributioner som Ubuntu 22.04, CentOS Stream 9, RHEL 9, OpenMandriva 4.2, Gentoo, Fedora 36, Debian Testing/Unstable. I SUSE Linux Enterprise 15 SP4 och openSUSE Leap 15.4 är paket med OpenSSL 3.0 tillgängliga som alternativ, systempaketen använder version 1.1.1. Debian 11, Arch Linux, Void Linux, Ubuntu 20.04, Slackware, ALT Linux, RHEL 8, OpenWrt och Alpine Linux 3.16 använder fortfarande OpenSSL 1.x.

Sårbarheten klassas som kritisk, detaljer har inte avslöjats än, men ur farlighetssynpunkt är problemet nära relaterat till den omtalade sårbarheten Heartbleed. En kritisk farlighetsgrad innebär möjligheten till en fjärrattack på typiska konfigurationer. Kritiska problem kan innefatta sådana som leder till fjärrläckage av minnesinnehåll, servern, exekvering av angriparens kod eller kompromettering av serverns privata nycklar. En uppdatering av OpenSSL 3.0.7 med en lösning på problemet och information om sårbarhetens art kommer att publiceras den 1 november.

Källa: opennet.ru