3 мая выпущены новые версии библиотеки OpenSSL – 1.0.2h и 1.0.1t. В них исправлены 2 уязвимости с высоким уровнем опасности.
3 мая выпущены новые версии библиотеки OpenSSL, 1.0.2h и 1.0.1t. В них исправлены 2 уязвимости с высоким уровнем опасности.
Одна из уязвимостей, CVE-2016-2108, допускала перезапись памяти при раскодировании специальным образом сконструированных бинарных данных. В частности, уязвимость позволяла перезаписать память при работе с X.509-сертификатами.
Ещё одна уязвимость, CVE-2016-2107, позволяла злоумышленнику, используя методологию Padding Oracle, расшифровать трафик, зашифрованный с применением алгоритма шифрования AES в режиме CBC.
Кроме вышеперечисленного, исправлен ряд уязвимостей с более низким уровнем опасности. Устранены уязвимости, приводящие к переполнению буфера при работе с данными в представлении Base64 и при использовании кодировки EBCDIC, а также к избыточному выделению памяти при чтении из файлов.