Доступны корректирующие выпуски криптографической библиотеки OpenSSL (https://www.openssl.org/) 1.0.2k (https://mta.openssl.org/pipermail/openssl-announce/2017-Janu...) и 1.1.0d (https://mta.openssl.org/pipermail/openssl-announce/2017-Janu...), в которых устранены 4 уязвимости (https://mta.openssl.org/pipermail/openssl-announce/2017-Janu...), трём из которых присвоен умеренный уровень опасности, а одной - низкий.- CVE-2017-3731 - позволяют инициировать крах серверного или клиентского SSL/TLS-приложения на 32-разрядных системах (чтение из области за пределами буфера) при приёме повреждённого пакета. В ветке OpenSSL 1.1.0 проблема проявляется при использовании алгоритмов CHACHA20/POLY1305, а в Openssl 1.0.2 - RC4-MD5;
- CVE-2017-3730 - может привести к краху клиентского приложения (разыменование нулевого указателя) при передаче сервером некорректных параметров при обмене ключами по протоколам DHE или ECDHE;
- CVE-2017-3732 - BN_mod_exp может вернуть некорректный результат на платформе x86_64, атака отнесена к категории труднореализуемых и маловероятных.
URL: https://mta.openssl.org/pipermail/openssl-announce/2017-Janu...
Новость: http://www.opennet.ru/opennews/art.shtml?num=45927
В FreeBSD-HEAD уже внесена 1.0.2k
В 11-STABLE тоже внесли изменения.
выпилить бы к чертя на*
Само обновило в Docker контейнере под линуксом.
> В 11-STABLE тоже внесли изменения.Дрочиш небось?
Школьник небось?
В STABLE 11 уже прилетело. Кстати, вместе сAuthor: emaste <emaste@FreeBSD.org>
Date: Wed Jan 25 01:04:51 2017 +0000
Add WITH_REPRODUCIBLE_BUILD src.conf(5) knob
Это просто праздник какой-то... хорошо, что у нас 1.0.2 до сих пор хоть.
хвастается тем что у вас дыры не исправляют ?
Это все потому что вы много проводите времени на форумах, вместо пиления своего багтрекера. В каждой бочке затычка, Михалл, право же!
Сказочный ... Как его только из больницы выпустили?
таких в кащенко сейчас долго не держат ведь миша обычный алкаш
а ты обычный дегенерат. и что с того? у всех есть недостатки.
Понимаю, если бы у вас был LibreSSL, то есть не просто бы был одним пакетом, который не требуется никому, а все пакеты требующие OpenSSL требовали бы LibreSSL и успешно линковались с нем, тогда да, есть повод для гордыни и хвастовства. А так...
> Понимаю, если бы у вас был LibreSSLзачем?
> то есть не просто бы был одним пакетом, который не требуется никомуту, единственную, софтину для которой актуальна и сравнительно безопасна диверсификация - тебе никто не мешает пересобрать самому. Для всего остального решительно ничего хорошего в libressl нет.
> есть повод для гордыни и хвастовства. А так...
libressl и есть бессмысленный повод гордыни и хвастовства - ничего из заявленных целей авторы не добились, совместимость без дополнительных допилок сломали как со всем распространенным софтом, нахудожествовав в api, так и с удаленными сервисами, понаудаляв "ненужного" кода (который необходимо и достаточно было просто не использовать без нужды).
Проект так и не породил простой, понятной и обозримой ssl-библиотеки - по причине изначальной безнадежности этой затеи. С тех пор они занимаются бэкпортами уже исправленных в мэйнстриме проблем, ничего нТратить время разработчиков хоть альта хоть кого на допиливание всего дистрибутивного софта под кастрированный апи - нет ни малейшего смысла. Там где это дается мелкими и разумными правками - это и так делают авторы самого софта.
И да, баг с "should not be called" так и не дошел до сознания авторов. То есть где-то внутри все еще весьма вероятная дыра размером с железнодорожный вагон, отсутствующая в mainstream.
ну, кто запретил у себя weak algo - тем хорошо.
Кто вынужден их использовать для совместимости чорти с чем - тем гораздо хуже, чем было бы с 1.1 до выпуска заплатки - потому что новомодные djb'шные протоколы в общем-то не особенно нужны, и запретить их до исправления (а лучше, как все ненужное, навсегда) можно почти в любом разумном месте.
Федеральное шифрование небось с мастер ключом фсб?
> Федеральное шифрование небось с мастер ключом фсб?а зачем тебе, шифруя _государственные_ секреты (ибо это единственное, где _требуют_ использования гостовского шифрования), что-то скрывать от ФСБ?