Разработчики проекта OpenBSD представили (https://marc.info/?l=openbsd-announce&m=147849220208015&w=2) корректирующие выпуски 2.3.9 и 2.4.4 переносимой редакции пакета LibreSSL (http://www.libressl.org/), в рамках которого развивается форк OpenSSL, нацеленный на обеспечение более высокого уровня безопасности. Кроме исправлений, направленных на повышение стабильности, в новых выпусках устранена уязвимость (CVE-2016-8610 (https://security-tracker.debian.org/tracker/CVE-2016-8610)), которую можно использовать для инициирования отказа в обслуживании сервера через наводнение пакетами с типом WARNING в процессе согласования соединения, что приведёт к зацикливанию обработки и 100% использованию ресурсов CPU. Например, атака может быть совершена для вывода из строя HTTPS-сервера на базе nginx.
Проблема проявляется (https://bugzilla.redhat.com/show_bug.cgi?id=1384743) не только в LibreSSL, но и в OpenSSL и GnuTLS. В GnuTLS уязвимость устранена в выпуске 3.5.6 (https://lists.gnupg.org/pipermail/gnutls-devel/2016-November...), а в OpenSSL в сентябрьских выпусках 1.1.0b и 1.0.2j (https://www.openssl.org/) (на момент выхода этих версий об уязвимости не было известно (http://www.openwall.com/lists/oss-security/2016/10/24/3)).Дополнительно можно отметить публикацию предупреждения (https://www.mail-archive.com/openssl-announce%40openssl...) о выходе 10 ноября обновления OpenSSL 1.1.0c, в котором будет устранена порция уязвимостей, одной из проблем присвоен высокий уровень опасности.
URL: https://marc.info/?l=openbsd-announce&m=147849220208015&w=2
Новость: https://www.opennet.ru/opennews/art.shtml?num=45442
В дырявом OpenSSL устранили проблему не дожидаясь, пока её уровень опасности поднимут до крайнего.
Фиаско: в стабильных релизах и ответвлениях (LibreSSL) особенно стабильные баги.
Похоже пригорает, все они дырка.
Если у вас мегазы кода работающие с данными из сети - ну вы поняли. В этих либах полно легаси и костылей, уйма способов сделать соединение не безопасным "для совместимости" даже не поняв этого и просто дико переусложненные протоколы в количестве полудюжины опций. Как это может на зафэйлить? Нет, раст не поможет если надо релизовать полдюжины навороченных протоколов с дурными опциями на все случаи жизни. Фэйспалм случится даже если написать на питоне. А в случае брейнфака надежда только на то что хакеры сойдут с ума быстрее чем разрабочтики.
балин, опять всю систему компилять :(
Ну не зря ж ты бедный буратино ;)
> балин, опять всю систему компилять :(DEFAULT_VERSIONS+=ssl=libressl-devel
# grep PORTVERSION /usr/ports/security/libressl-devel/Makefile
PORTVERSION= 2.5.0
>> балин, опять всю систему компилять :(
> DEFAULT_VERSIONS+=ssl=libressl-devel
> # grep PORTVERSION /usr/ports/security/libressl-devel/Makefile
> PORTVERSION= 2.5.0и чё этот набор букв и цифр означает?
хотя нет, в собранном от 5 ноября это уже есть, собирать не надо:errata 6.0:
015: RELIABILITY FIX: November 5, 2016 All architectures
Avoid continual processing of an unlimited number of TLS records.
A source code patch exists which remedies this problem.
Забейте уже на HTTPS. В феврале релизнется протокол HTTP-SS и будет всем счастье. Прокачка трафика увеличится на 90% с полным шифрованием.
Ура товарищи!
И что, библиотеки шифрования в нём будут другие?
> И что, библиотеки шифрования в нём будут другие?И центры сертификации!! Там же ж даже Интернет будет другой! #нереклама
> И центры сертификации!!куда же без них! в них самая безопасность и гнездицца!
Насобирали 400 баксов из запланированных 220 000, на страничка PreSale намекает что это "не то"
> Насобирали 400 баксов из запланированных 220 000, на страничка PreSale намекает что
> это "не то"Народ догадывается что проприетарный протокол с отчислениями и какими-то специальными программами - не торт? :)
> Забейте уже на HTTPS. В феврале релизнется протокол HTTP-SS и будет всемВы всерьёз считайте, что в современном интернете взлетит проприетарный протокол?
И вообще, всё это очень походит на троллинг в стиле архиватора Бабушкина. Сочетание "SS" в названии немецкой компании только усиливает это подозрение.
Это жулики. Они хотят получать отчисления за использование, причём на уровне 1 доллара в месяц на каждой устройство (http://http-ss.com/Pre_Sales_Consumer.html). И никакой это не протокол, а типа совмещения VPN с кэширующим прокси. Требует установки отдельных программ на сервер и на компьютер клиента.
> Это жулики.Об этом можно легко догадаться по тому, кто рекламирует их здесь.
> Забейте уже на HTTPS. В феврале релизнется протокол HTTP-SS и будет всем
> счастье. Прокачка трафика увеличится на 90% с полным шифрованием.
> Ура товарищи!
> http://http-ss.com/Так, минуточку. А эти гламурные кикстартеры вообще хоть что-то смыслят в крипто? Или ты заранее орешь "ура!" на всякий случай, как истинный комсомолец?