OpenSSL‘in 3.0.7 sürümü duyuruldu. Sürümün, kritik bir güvenlik açığını düzelttiği belirtilirken, uzaktan kod yürütmeye (RCE) yol açabileceği için gerek CVE-2022-3786 ve gerekse CVE-2022-3602 arabellek taşmaları için yapılan çeşitli testlerde, bunlarla ilgili geri bildirim alındığı ifade ediliyor. Bu geri bildirimlerde, öncelikle, belirli Linux dağıtımlarında yığın düzeninin, 4 baytın henüz kullanılmamış olan bitişik bir arabelleğin üzerine yazdığı ve bu nedenle uzaktan kod yürütülmesine neden olacak herhangi bir kilitlenme veya yetenek olmadığı şeklinde rapor alındığı belirtiliyor. İkinci olarak, birçok modern platformun, uzaktan kod yürütme riskini azaltacak ve bunun yerine genellikle bir çökmeye yol açacak yığın taşması korumaları uyguladığı söyleniyor. Bununla birlikte, bazı platformlarda uzaktan kod yürütmenin halen mümkün olabileceği söyleniyor. Bu nedenle, bu sorunların halen ciddi güvenlik açıkları olarak görüldüğü ve etkilenen kullanıcıların mümkün olan en kısa sürede 3.0.7 sürümüne yükseltme yapmalarının önerildiği ifade ediliyor. Öyleyse, OpenSSL 3.0.0 – 3.0.6 kullanıcılarının mümkün olan en kısa sürede 3.0.7’ye yükseltme yapmaları öneriliyor. Bu arada, 1 Kasım 2022’de de OpenSSL 1.1.1, yani 1.1.1’ler için bir güncelleme yayınladığı belirtiliyor ama bunun yalnızca bir hata düzeltme sürümü olduğu ve herhangi bir güvenlik düzeltmesi içermediği söyleniyor. OpenSSL 1.1.1’in, 11 Eylül 2023’e kadar destekleneceği, bu nedenle bu serinin kullanıcılarının OpenSSL 3.0 serisine yükseltme yapmalarının önerildiği söyleniyor. Hatırlanacağı gibi Nisan 2014‘te OpenSSL’de tespit edilen çok ciddi bir güvenlik açığı “Heartbleed Bug” güvenlik şirketi Codenomicun tarafından kamuoyuyla paylaşılmıştı. OpenSSL 3.0.7 hakkında ayrıntılı bilgi edinmek için değişiklikler ve haberler sayfalarını inceleyebilirsiniz.
Continue Reading →
OpenSSL 3.0.7 edinmek için aşağıdaki linklerden yararlanabilirsiniz.
