OpenSSL کرپٹوگرافک لائبریری 1.1.1j کی بحالی کی ریلیز دستیاب ہے، جو دو کمزوریوں کو دور کرتی ہے:
- CVE-2021-23841 X509_issuer_and_serial_hash() فنکشن میں ایک NULL پوائنٹر ڈیریفرنس ہے، جو اس فنکشن کو جاری کرنے والے فیلڈ میں غلط ویلیو کے ساتھ X509 سرٹیفکیٹس کو ہینڈل کرنے کے لیے کال کرنے والی ایپلیکیشنز کو کریش کر سکتا ہے۔
- CVE-2021-23840 EVP_CipherUpdate، EVP_EncryptUpdate، اور EVP_DecryptUpdate فنکشنز میں ایک انٹیجر اوور فلو ہے جس کے نتیجے میں 1 کی قدر واپس آ سکتی ہے، کامیاب آپریشن کی نشاندہی ہوتی ہے، اور سائز کو منفی قدر پر سیٹ کر سکتے ہیں، جس سے ایپلیکیشن خراب ہو سکتی ہے یا کریش ہو سکتی ہے۔ عام رویہ.
- CVE-2021-23839 SSLv2 پروٹوکول کے استعمال کے لیے رول بیک تحفظ کے نفاذ میں ایک خامی ہے۔ صرف پرانی شاخ 1.0.2 میں ظاہر ہوتا ہے۔
LibreSSL 3.2.4 پیکیج کی ریلیز بھی شائع ہو چکی ہے، جس کے اندر OpenBSD پروجیکٹ OpenSSL کا ایک فورک تیار کر رہا ہے جس کا مقصد اعلیٰ سطح کی سکیورٹی فراہم کرنا ہے۔ ریلیز LibreSSL 3.1.x میں استعمال ہونے والے پرانے سرٹیفکیٹ کے توثیقی کوڈ پر واپس لوٹنے کے لیے قابل ذکر ہے کیونکہ پرانے کوڈ میں کیڑے کے ساتھ کام کرنے کے لیے کچھ ایپلی کیشنز میں وقفے کی وجہ سے۔ اختراعات میں، TLSv1.3 میں برآمد کنندہ اور آٹوچین اجزاء کے نفاذ کا اضافہ نمایاں ہے۔
اس کے علاوہ، کمپیکٹ کرپٹوگرافک لائبریری wolfSSL 4.7.0 کی ایک نئی ریلیز ہوئی، جو محدود پروسیسر اور میموری وسائل کے ساتھ ایمبیڈڈ ڈیوائسز، جیسے انٹرنیٹ آف تھنگز ڈیوائسز، سمارٹ ہوم سسٹم، آٹوموٹو انفارمیشن سسٹم، روٹرز اور موبائل فونز پر استعمال کے لیے موزوں ہے۔ . کوڈ C زبان میں لکھا گیا ہے اور GPLv2 لائسنس کے تحت تقسیم کیا گیا ہے۔
نئے ورژن میں RFC 5705 (Keying Material Exporters for TLS) اور S/MIME (سیکیور/ملٹی پرپز انٹرنیٹ میل ایکسٹینشنز) کے لیے سپورٹ شامل ہے۔ دوبارہ پیدا کرنے کے قابل تعمیرات کو یقینی بنانے کے لیے "-enable-reproducible-build" جھنڈا شامل کیا گیا۔ OpenSSL کے ساتھ مطابقت کو یقینی بنانے کے لیے SSL_get_verify_mode API، X509_VERIFY_PARAM API اور X509_STORE_CTX کو پرت میں شامل کر دیا گیا ہے۔ لاگو شدہ میکرو WOLFSSL_PSK_IDENTITY_ALERT۔ TLS 12 سیشن ٹکٹوں کو غیر فعال کرنے کے لیے ایک نیا فنکشن _CTX_NoTicketTLSv1.2 شامل کیا، لیکن انہیں TLS 1.3 کے لیے محفوظ کریں۔
ماخذ: opennet.ru