Ez az oldal a közösségért készül. 
Kövess minket máshol is: 
Ha hasznosnak találod, és szeretnéd, hogy folytatódjon, támogasd a munkát 
Megjelent az OpenSSL 4.0.3, amely egy biztonsági javítócsomag a széles körben használt, nyílt forráskódú kriptográfiai és TLS eszközkészlethez. Jelentős számú sebezhetőséget orvosol többek között a DTLS-ben, a QUIC-ban, az X.509 feldolgozásban, az elliptikus görbéken alapuló műveletekben és más összetevőkben.
Az OpenSSL csapat tájékoztatása szerint a most javított sebezhetőségek közül a legsúlyosabb minősítése High besorolású. Összesen 14 CVE-hez tartozó javítás vagy enyhítés került be az OpenSSL 4.0.3 kiadásba.
Ezek között van a CVE-2026-84782, amely a DTLS kézfogás újraküldéseit érinti, valamint a CVE-2026-84783, egy use-after-free probléma az X.509 kiterjesztés-gyorsítótárban, amely párhuzamos használat mellett jelentkezhet.
Számos QUIC-hoz kapcsolódó sebezhetőséget is javítottak, köztük a túlzott amplification credit elszámolást, egy lehetséges CPU-szintű szolgáltatásmegtagadást a nem hatékony fragmentum-összeállítás miatt, egy STREAM fragmentum metaadat-alapú DoS támadást, a kapcsolat-szintű flow-control ellenőrzés hiányát, valamint a korlátlan RETIRE_CONNECTION_ID várólistát.
A frissítés megszünteti a túlzott memóriafoglalást a CRL distribution point-ok feldolgozásakor. Emellett javítja a határértéken túli memóriacímzés problémáját, amely az SSL_set_SSL_CTX() hívásnál léphet fel kézfogás közben, egy NULL pointer dereferálást a CMP kliens visszavonási válaszainak kezelésekor, valamint egy DTLS 1.2 szolgáltatásmegtagadási hibát, amelyet egy túl kicsi, nem hitelesített AEAD rekord válthat ki.
A kriptográfiai műveletekre is jutott figyelem. Az OpenSSL 4.0.3 időzítési oldalsávos csatornákat szüntet meg a nem NIST elliptikus görbéken végzett skalárszorzásnál és az SM2 aláíráskészítésnél, továbbá javítja az SM2 skalárszorzás nem konstans idejű megvalósítását ARM64 és RISC-V rendszereken.
A biztonsági javításokon túl a kiadás korrigál egy hibát, amelynél az EVP_DecryptFinal() tévesen sikeresnek jelezhetett egy AES-SIV hitelesítési hiba után. Emellett javít egy regressziót az OpenSSL 4.0 base64 kódoló BIO szűrőjében, amely hiányos írások után adatvesztést okozhatott a BIO láncban.
A biztonsági javítások számát és jelentőségét látva az OpenSSL 4.0-t futtató felhasználóknak és rendszergazdáknak érdemes mielőbb frissítésre váltaniuk 4.0.3-as verzióra, amint a csomagok elérhetővé válnak az operációs rendszerük vagy a használt szoftver disztribúció csatornáin keresztül.
További részletekért nézd meg a változásnaplót.
