1 ноября в OpenSSL устранят первую критическую уязвимость с 2016 года

1 ноября в OpenSSL устранят первую критическую уязвимость с 2016 года

1 ноября в OpenSSL устранят первую критическую уязвимость с 2016 года

Разработчики OpenSSL готовятся выпустить обновление, которое устранить критическую уязвимость в криптографической библиотеке с открытым исходным кодом. Поскольку пользователей предупредили заранее, стоит просто поставить напоминание об обновлении на 1 ноября.

Выход версии OpenSSL 3.0.7, как мы уже отметили выше, запланирован на ближайший вторник, 1 ноября. Ожидается, что релиз состоится в период между 16:00 и 20:00 по Москве.

Подробности этого обновления пока не раскрываются, однако уже известно, что оно ориентировано на безопасность. Сообщается, что среди патчей будет заплатка для критической уязвимости.

Есть также информация, что эта критическая брешь не затрагивает версии OpenSSL до 3.0. Интересно, это первая проблема такой степени риска с 2016 года, которую разработчики устраняют в OpenSSL. В целом статус «критическая» получили на сегодняшний день только две дыры в OpenSSL.

В дополнение к OpenSSL 3.0.7 девелоперы выпустят версию 1.1.1s в тот же день. Она будет содержать фиксы для известных багов.

Подпишитесь на новости

В России ограничивают целые сети хостингов: соединение есть, данные не идут

Российские пользователи могут сталкиваться с ограничениями доступа не к отдельным сайтам, а к сетям зарубежных хостинг-провайдеров. К такому выводу пришёл автор под ником msinakaev: он проверил 435 тестовых точек у 154 компаний. Характерный симптом — соединение устанавливается, передаёт немного данных и зависает.

Методику и результаты автор опубликовал на Хабре. Сначала исследователь проверил доступность файлов из Европы, затем повторил тесты из России.

Через домашнее подключение загрузка прошла у 87% точек. Зависшие адреса, по его подсчётам, сгруппировались в 14 сетей, включая OVH, Hetzner, DigitalOcean, Vultr и Scaleway.


Стоит отметить, что небольшой хостинг может арендовать инфраструктуру крупного провайдера и попадать под ограничения вместе с его сетью. У одного бренда разные площадки поэтому могут работать по-разному.


Дополнительные эксперименты привели автора к выводу, что порог зависит от количества пакетов в TCP-соединении, а не от фиксированного объёма данных. После его достижения обмен зависал в обе стороны. Проверенные UDP-подключения в этих опытах продолжали работать.


Исследователь связывает поведение с ТСПУ, но доступа к оборудованию и правилам фильтрации у него нет.

Тем не менее масштаб выводов стоит держать в узде: основные замеры сделаны 5-6 ноября одним человеком на двух подключениях в одном городе, МТС проверялся на небольшой выборке. AWS и Azure в исследование не вошли.

RSS: Новости на портале Anti-Malware.ru