3 мая выпущены новые версии библиотеки OpenSSL, 1.0.2h и 1.0.1t. В них исправлены 2 уязвимости с высоким уровнем опасности.

Одна из уязвимостей, CVE-2016-2108, допускала перезапись памяти при раскодировании специальным образом сконструированных бинарных данных. В частности, уязвимость позволяла перезаписать память при работе с X.509-сертификатами.

Ещё одна уязвимость, CVE-2016-2107, позволяла злоумышленнику, используя методологию Padding Oracle, расшифровать трафик, зашифрованный с применением алгоритма шифрования AES в режиме CBC.

Кроме вышеперечисленного, исправлен ряд уязвимостей с более низким уровнем опасности. Устранены уязвимости, приводящие к переполнению буфера при работе с данными в представлении Base64 и при использовании кодировки EBCDIC, а также к избыточному выделению памяти при чтении из файлов.