En korrekturversion av den kryptografiska biblioteket OpenSSL 1.1.1j har släppts, där två sårbarheter har åtgärdats:
- CVE-2021-23841 – dereferering av en nullpekare i funktionen X509_issuer_and_serial_hash(), vilket kan leda till krasch av applikationer som anropar denna funktion för att hantera X509-certifikat med ett ogiltigt värde i fältet issuer.
- CVE-2021-23840 – heltalsöverflöd i funktionerna EVP_CipherUpdate, EVP_EncryptUpdate och EVP_DecryptUpdate, vilket kan resultera i att värdet 1 returneras, vilket betyder att operationen genomförts framgångsrikt, och att ett negativt värde sätts för storleken, vilket kan leda till krasch av applikationer eller avvikelse från normalt beteende.
- CVE-2021-23839 – brist i implementeringen av skydd mot nedåtrullning till protokollet SSLv2. Detta uppträder endast i den gamla grenen 1.0.2.
Även en utgåva av LibreSSL 3.2.4 har publicerats, där OpenBSD-projektet vidareutvecklar en fork av OpenSSL, med målet att säkerställa en högre säkerhetsnivå. Utsläppet är anmärkningsvärt för återgången till användningen av gammal certifikatvalideringskod som användes i LibreSSL 3.1.x, på grund av att vissa applikationer fungerar dåligt med bindningar för att kringgå fel i den gamla koden. Bland nyheterna finns tillägget av komponenterna exporter och autochain i TLSv1.3.
Dessutom har en ny version av den kompakta kryptografiska biblioteket wolfSSL 4.7.0 släppts, optimerad för användning på inbyggda enheter med begränsade processorkapacitet och minne, som Internet of Things-enheter, smarta hemsystem, bilinformation, routrar och mobiltelefoner. Koden är skriven i C och distribueras under GPLv2-licensen.
I den nya versionen har stöd för RFC 5705 (Keying Material Exporters for TLS) och S/MIME (Secure/Multipurpose Internet Mail Extensions) implementerats. En flagga "—enable-reproducible-build" har lagts till för att säkerställa reproducerbara byggnationer. API:erna SSL_get_verify_mode, X509_VERIFY_PARAM API och X509_STORE_CTX har lagts till i lager för att säkerställa kompatibilitet med OpenSSL. Makrot WOLFSSL_PSK_IDENTITY_ALERT har implementerats. En ny funktion _CTX_NoTicketTLSv12 för att inaktivera sessionsticket för TLS 1.2 har lagts till, men behåller dem för TLS 1.3.
Källa: opennet.ru
