Tor 0.4.8.25 och 0.4.9.8 uppdateringar med sårbarhetsfixar. Släpp av Arti 2.3.0

Korrigerande utgåvor av Tor 0.4.8.25 och 0.4.9.8 har publicerats, som används för att organisera den anonyma Tor-nätverken. Utgåvan Tor 0.4.9.8 fixar 6 sårbarheter:

• TROVE-2026-011 — ett fel som resulterade i att data lästes från utanför bufferten när speciellt formaterade meddelanden (cell) END, TRUNCATE och TRUNCATED behandlades;
• TROVE-2026-008 — felaktig behandling av BEGIN_DIR-meddelanden vid användning av conflux-mekanismen.
• TROVE-2026-010 — i conflux-mekanismen återberäknades inte räknare och tillståndsvariabler korrekt vid rensning av kön av oordnade meddelanden.
• TROVE-2026-009 — krasch av klienten orsakad av dubbelstängning av kedjan under förutsättning av otillräckligt minne för att hantera köer av kedjor.
• TROVE-2026-006 — avreferensiering av en nullpekare som kan inträffa vid behandling av ett specialformaterat CERT-meddelande.
• TROVE-2026-007 — läsning från en områdes utanför den tilldelade bufferten vid behandling av ett specialformaterat BEGIN-meddelande.

Debian har redan släppt en uppdatering av paketet tor 0.4.9.8-0+deb13u1 för den stabila versionen av distributionen och 0.4.9.8-1 för den osäkra versionen. Sårbarhetsfixar ingick i utgåvorna av Tor Browser 15.0.13 och Tails 7.7.3.

För några dagar sedan publicerades också utgåvan Arti 2.3.0, en implementation av Tor-verktygen, skriven i Rust. När Arti-koden når en nivå som helt kan ersätta C-versionen avser Tor-utvecklarna att ge Arti status som huvudimplementation av Tor och gradvis avbryta underhållet av C-implementeringen. I den nya versionen har funktionaliteten för noder och servrar directory authorities (Directory Authority) utvecklats, en ny RPC API för inspektering av tunnlar har lagts till, stöd för att spara loggar via syslog har tillhandahållits och inställningen logging.protocol_warnings har lagts till för att återspegla protokollvarningar i loggen.

Källa: opennet.ru