Tag Archives | Apache tarzı

OpenSSL‘in 3.1.1 sürümü duyuruldu. Değişikliklerin tam listesi için günlük sayfasının incelenmesi öneriliyor. Çeşitli ayarları ayarlayan fipsinstall’a -pedantic bir seçenek eklendiği belirtilirken, ARM 64 bit platformlarında AES-XTS şifre çözme işleminde aşırı okunan arabelleğin düzeltildiği söyleniyor. OBJ_obj2txt’in devasa boyutlara ulaşması için gereken sürenin azaltıldığı belirtilen yeni sürüm, nesne tanımlayıcısı (OBJECT IDENTIFIER) alt tanımlayıcılarını canonical sayısal metin formuna dönüştürüyor. OBJ_obj2txt(), herhangi bir boyuttaki nesne tanımlayıcısını (OBJECT IDENTIFIER) kurallı hale getiriyor. X509_VERIFY_PARAM_add0_policy() belgeleri düzeltilirken, yaprak sertifikalarda geçersiz sertifika politikalarının olduğu bir sorun düzeltilmiş bulunuyor. Hatırlanacağı gibi Nisan 2014‘te OpenSSL’de tespit edilen çok ciddi bir güvenlik açığı “Heartbleed Bug” güvenlik şirketi Codenomicun tarafından kamuoyuyla paylaşılmıştı. OpenSSL 3.1.1 hakkında ayrıntılı bilgi edinmek için değişiklikler ve haberler sayfalarını inceleyebilirsiniz.

Continue Reading →

OpenSSL‘in 3.1.0 sürümü duyuruldu. Değişikliklerin tam listesi için günlük sayfasının incelenmesi öneriliyor. Zorlamak için FIPS sağlayıcı yapılandırma seçeneği eklenen yeni sürümde, FIPS sağlayıcısının, kimi durumlarda birkaç onaylanmamış algoritma içerdiği söyleniyor. Dahil edilen ancak onaylanmayan algoritmaların, üçlü DES ECB, üçlü DES CBC ve EdDSA olduğu söyleniyor. KBKDF’de KMAC desteği eklenirken, sağlayıcı işlevlerinde RNDR ve RNDRRS desteği sağlamak için Arm CPU’lar için rasgele sayı üretimi sağlandığı söyleniyor. Çeşitli OBJ_* işlevleri iş parçacığı için güvenli hale getirilmiş bulunuyor. Hatırlanacağı gibi Nisan 2014‘te OpenSSL’de tespit edilen çok ciddi bir güvenlik açığı “Heartbleed Bug” güvenlik şirketi Codenomicun tarafından kamuoyuyla paylaşılmıştı. OpenSSL 3.1.0 hakkında ayrıntılı bilgi edinmek için değişiklikler ve haberler sayfalarını inceleyebilirsiniz.

Continue Reading →

OpenSSL‘in 3.0.8 sürümü duyuruldu. PKCS7 veri doğrulaması sırasında NULL başvurusunun düzeltildiği belirtilirken, X.509 GeneralName’deki X.400 adres tipi karışıklığının da düzeltildiği söyleniyor. X.400 adresleri bir ASN1_STRING olarak ayrıştırılırken, DSA genel anahtarını doğrulayan NULL başvurusu da düzeltilmiş bulunuyor. BIO_new_NDEF sonrasında ücretsiz kullanımın düzeltildiği belirtilirken, PEM_read_bio_ex’i çağırdıktan sonra Double free’nin düzeltildiği ifade ediliyor. Hatırlanacağı gibi Nisan 2014‘te OpenSSL’de tespit edilen çok ciddi bir güvenlik açığı “Heartbleed Bug” güvenlik şirketi Codenomicun tarafından kamuoyuyla paylaşılmıştı. OpenSSL 3.0.8 hakkında bilgi edinmek için değişiklikler ve haberler sayfalarını inceleyebilirsiniz.

Continue Reading →

OpenSSL‘in 3.0.7 sürümü duyuruldu. Sürümün, kritik bir güvenlik açığını düzelttiği belirtilirken, uzaktan kod yürütmeye (RCE) yol açabileceği için gerek CVE-2022-3786 ve gerekse CVE-2022-3602 arabellek taşmaları için yapılan çeşitli testlerde, bunlarla ilgili geri bildirim alındığı ifade ediliyor. Bu geri bildirimlerde, öncelikle, belirli Linux dağıtımlarında yığın düzeninin, 4 baytın henüz kullanılmamış olan bitişik bir arabelleğin üzerine yazdığı ve bu nedenle uzaktan kod yürütülmesine neden olacak herhangi bir kilitlenme veya yetenek olmadığı şeklinde rapor alındığı belirtiliyor. İkinci olarak, birçok modern platformun, uzaktan kod yürütme riskini azaltacak ve bunun yerine genellikle bir çökmeye yol açacak yığın taşması korumaları uyguladığı söyleniyor. Bununla birlikte, bazı platformlarda uzaktan kod yürütmenin halen mümkün olabileceği söyleniyor. Bu nedenle, bu sorunların halen ciddi güvenlik açıkları olarak görüldüğü ve etkilenen kullanıcıların mümkün olan en kısa sürede 3.0.7 sürümüne yükseltme yapmalarının önerildiği ifade ediliyor. Öyleyse, OpenSSL 3.0.0 – 3.0.6 kullanıcılarının mümkün olan en kısa sürede 3.0.7’ye yükseltme yapmaları öneriliyor. Bu arada, 1 Kasım 2022’de de OpenSSL 1.1.1, yani 1.1.1’ler için bir güncelleme yayınladığı belirtiliyor ama bunun yalnızca bir hata düzeltme sürümü olduğu ve herhangi bir güvenlik düzeltmesi içermediği söyleniyor. OpenSSL 1.1.1’in, 11 Eylül 2023’e kadar destekleneceği, bu nedenle bu serinin kullanıcılarının OpenSSL 3.0 serisine yükseltme yapmalarının önerildiği söyleniyor. Hatırlanacağı gibi Nisan 2014‘te OpenSSL’de tespit edilen çok ciddi bir güvenlik açığı “Heartbleed Bug” güvenlik şirketi Codenomicun tarafından kamuoyuyla paylaşılmıştı. OpenSSL 3.0.7 hakkında ayrıntılı bilgi edinmek için değişiklikler ve haberler sayfalarını inceleyebilirsiniz.

Continue Reading →