Проект OpenBSD опубликовал выпуск переносимой редакции пакета LibreSSL 3.2.5, в рамках которого развивается форк OpenSSL, нацеленный на обеспечение более высокого уровня безопасности. В новой версии устранена ошибка в реализации клиента TLS, приводящая к обращению к уже освобождённому блоку памяти (use-after-free) при выполнении операции возобновления сеанса. Разработчики OpenBSD признали, что ошибка приводит к уязвимости, но воздержались от публикации деталей, ограничившись только патчем. Информация о возможности организации удалённой атаки пока отсутствует. Не исключено, что уязвимость имеет отношение к проблеме, приводившей  к крахам, о которой в феврале предупреждали разработчики проекта haproxy...

Подробнее: https://www.opennet.dev/opennews/art.shtml?num=54774

• Обновление LibreSSL 3.2.5 с устранением уязвимости,Леголас, 13:53 , 17-Мрт-21
  • Обновление LibreSSL 3.2.5 с устранением уязвимости,Аноним, 14:54 , 17-Мрт-21
    • Обновление LibreSSL 3.2.5 с устранением уязвимости,АЛЬТернативно одаренный, 15:38 , 17-Мрт-21
      • Обновление LibreSSL 3.2.5 с устранением уязвимости,Аноним, 15:52 , 17-Мрт-21
        • Обновление LibreSSL 3.2.5 с устранением уязвимости,Самый Лучший Гусь, 15:58 , 17-Мрт-21
      • Обновление LibreSSL 3.2.5 с устранением уязвимости,DildoZilla, 11:12 , 18-Мрт-21
• Обновление LibreSSL 3.2.5 с устранением уязвимости,Fracta1L, 14:08 , 17-Мрт-21
  • Обновление LibreSSL 3.2.5 с устранением уязвимости,Леголас, 14:16 , 17-Мрт-21
• Обновление LibreSSL 3.2.5 с устранением уязвимости,Аноним, 16:05 , 17-Мрт-21
  • Обновление LibreSSL 3.2.5 с устранением уязвимости,Ivan_83, 16:18 , 17-Мрт-21
    • Обновление LibreSSL 3.2.5 с устранением уязвимости,Леголас, 16:30 , 17-Мрт-21
      • Обновление LibreSSL 3.2.5 с устранением уязвимости,Аноним, 16:38 , 17-Мрт-21
    • Обновление LibreSSL 3.2.5 с устранением уязвимости,Аноним, 16:37 , 17-Мрт-21
    • Обновление LibreSSL 3.2.5 с устранением уязвимости,kissmyass, 11:07 , 18-Мрт-21
  • Обновление LibreSSL 3.2.5 с устранением уязвимости,morsik, 16:43 , 17-Мрт-21
    • Обновление LibreSSL 3.2.5 с устранением уязвимости,Последний из могикан, 17:14 , 17-Мрт-21
      • Обновление LibreSSL 3.2.5 с устранением уязвимости,_, 16:28 , 19-Мрт-21
• Обновление LibreSSL 3.2.5 с устранением уязвимости,Аноним, 16:50 , 17-Мрт-21
  • Обновление LibreSSL 3.2.5 с устранением уязвимости,Аноним, 17:11 , 17-Мрт-21
  • Обновление LibreSSL 3.2.5 с устранением уязвимости,Аноним, 17:11 , 17-Мрт-21
  • Обновление LibreSSL 3.2.5 с устранением уязвимости,Аноним, 17:26 , 17-Мрт-21
    • Обновление LibreSSL 3.2.5 с устранением уязвимости,Аноним, 18:02 , 17-Мрт-21
• Обновление LibreSSL 3.2.5 с устранением уязвимости,Аноним, 17:30 , 17-Мрт-21
• Обновление LibreSSL 3.2.5 с устранением уязвимости,клавиатур, 21:07 , 17-Мрт-21
  • Обновление LibreSSL 3.2.5 с устранением уязвимости,_, 16:31 , 19-Мрт-21
• Обновление LibreSSL 3.2.5 с устранением уязвимости,Какаянахренразница, 02:49 , 18-Мрт-21
  • Обновление LibreSSL 3.2.5 с устранением уязвимости,Последний из могикан, 11:06 , 18-Мрт-21
    • Обновление LibreSSL 3.2.5 с устранением уязвимости,Какаянахренразница, 11:37 , 18-Мрт-21
      • Обновление LibreSSL 3.2.5 с устранением уязвимости,Последний из могикан, 17:41 , 18-Мрт-21
        • Обновление LibreSSL 3.2.5 с устранением уязвимости,_, 16:33 , 19-Мрт-21
    • Обновление LibreSSL 3.2.5 с устранением уязвимости,Какаянахренразница, 13:39 , 18-Мрт-21
  • Обновление LibreSSL 3.2.5 с устранением уязвимости,Аноньимъ, 14:11 , 18-Мрт-21
• Обновление LibreSSL 3.2.5 с устранением уязвимости,_, 16:37 , 19-Мрт-21

> нацеленный на обеспечение более высокого уровня безопасности

выходит, что нет, ведь разрабы дистров неспроста возвращаются к истоку

Опенбсдшники наивно полагали что им не слабо разгрести тот гамнокодец. Оптимисты.

Сначала добавили его в openssl, а теперь не могут разгрести свой код.
БСДшники классические.

> Сначала добавили его в openssl, а теперь не могут разгрести свой код.
> БСДшники классические.

https://github.com/openssl/openssl/search?l=C&q=openbsd&type=
> 3 code results in openssl/openssl
> #ifdef OPENBSD_DEV_CRYPTO
> # if defined(__OpenBSD__) || defined(__NetBSD__)
>  * - OpenBSD since 5.6

Классические пигнвиняшные оналитеги.

Так они никак шифруются.

12309?

Никогда не было таких сишных дыр и вот опять

приятного аппетита

А кто переходил с openssl на libre ? Сильно проблематично это сделать ?

Я уже давно перешёл.
У меня фря.

В /etc/make.conf добавляешь DEFAULT_VERSIONS+=ssl=libressl
и пересобираешь все порты зависящие от openssl.

Правда есть некоторые порты, где либра не работает, потому что либо не хватает какой то фичи, например PSK нужно заббиксу или потому что авторы не озаботились совместимостью.
Но тот же заббикс хотя бы можно просто с gnutls собрать, а те немногие порты что с либрой не дружат - тут видимо только самому.

дык может анон на лине сидит и про порты даже и не слышал

> дык может анон на лине сидит и про порты даже и не
> слышал

Извините, у вас в роду гадалок небыло ?

> Правда есть некоторые порты, где либра не работает, потому что либо не
> хватает какой то фичи, например PSK нужно заббиксу или потому что
> авторы не озаботились совместимостью.
> Но тот же заббикс хотя бы можно просто с gnutls собрать, а
> те немногие порты что с либрой не дружат - тут видимо
> только самому.

Понятно, спасибо.

а что делать если выходит новая версия?

пересобирать заново?

и вручную мониторить нужно ли делать обновление или нет?

Переходил почти беспроблемно, когда либру уверенно завозили в генту, но через полгода они отказались от поддержки, параллельно с остальными дистрами

Это потому что в ней меньше уязвимостей чем в openssl

Хороший анекдоД! Молодец, дучше Петросяна :)

> super important lib for security
> C
> use-after-free

Ah Shit, Here We Go Again!

Хватит уже тупить может? Не надоело? Ты хоть что новое выучи уже. Идиот.

У тебя раст опять упал? Дописать не успел?

Еще более истерично переписываю /bin/ls на расте

И coreutils! И побыстрее! Чтобы наконец-то увидеть зарево от выбитых днищ когда их заменят))

Карсота какая.

http://www.libressl.org/images/libressl.jpg

Над опенком работают хоть и талантливые, но все же люди.
Проруха хаппенс.

Я, когда была эпопея по добавлению ГОСТ-ов, снова полез в OpenSSL, мол щас я вам покажу как надо ... Посмотрел код и теперь плохо сплю ночами :)
Люди которые этим не за деньги занимаются - как минимум IT-святые :)

На шестой день создал Б-г решетo. И увидел Б-г, что сотворил фигню и хотел было аннигилировать его. Но Люцифер остановил руку Господню, взял решетo и сказал "Дай поприкалываться". И бросил решетo на Землю. В те дни шёл по дороге программист. И увидел решетo, и поднял его, и повертел в руках. И сказал программист в сердце своём:  "Переиспользование кода". А потом добавил: "Паттерны проектирования". И ещё: "KISS". И потянул решетo в свой код. А Люцик видел всё это, и ржал акт конь.

--Евангелие от Фрактала Самуила Флуктуаци

У вас талант.И чем вам немил Фракталус?

Тринадцать лет назад (как вчера было) на форуме домохозяек (ксакеп) зарегался монах, брат Михаил. Пришёл, значить, проповедовать. Свет, стало быть, нести. Тобто, заблудших овечек наставлять на путь.

А Фрактал наслал на него проклятие на каком-то древнем языке. И монашек исчез. На личные сообщения не отвечает. На форум не заходит. По отправленным ссылкам не кликает. Зловред в аттачменте не скачивает. Был человек -- и нет человека. Замочил Фрактал монаха.

П.С.: Потом оказалось, что это кукловод Фрактал сам с собой так развлекался. Но осадочек остался...

> Тринадцать лет назад (как вчера было) на форуме домохозяек (ксакеп) зарегался монах,
> брат Михаил. Пришёл, значить, проповедовать. Свет, стало быть, нести. Тобто, заблудших
> овечек наставлять на путь.
> А Фрактал наслал на него проклятие на каком-то древнем языке. И монашек
> исчез. На личные сообщения не отвечает. На форум не заходит. По
> отправленным ссылкам не кликает. Зловред в аттачменте не скачивает. Был человек
> -- и нет человека. Замочил Фрактал монаха.
> П.С.: Потом оказалось, что это кукловод Фрактал сам с собой так развлекался.
> Но осадочек остался...

"Изгоняющий монаха" прям.А вообще то это метода силовиков,так что вы поосторожней с ним-может там звёзд на погонах побольше чем у вас оперативки в пк.

У него на погонах не звёзды а сишные дырени :)

А конкретно этот опус навеян его вечным нытьём про "сишные дырени".

Это смешно потому что правда.

Ну ... самые седожопые из нас сразу предупреждали, что ручная граната - вещь мощнейшая, НО! - детям не игрушка :)

Прошло несколько лет с времён кагда все уходили с OpenSSL ... и всё сбылось. Полноценную и качественную замену _никто_ не осилил :)  Смузихлёбы - *овно по сравнению с хакирами :)))))