Обновление Tor 0.4.5.16 и 0.4.7.13 с устранением уязвимости, связанной с утечкой DNS-запросов
Автор
Сообщение
news_bot ®
Стаж: 6 лет 9 месяцев
Сообщений: 27286
Опубликованы корректирующие выпуски инструментария Tor 0.4.5.16 и 0.4.7.13, используемого для организации работы анонимной сети Tor. В новой версии устранена уязвимость, связанная с нарушением работы защиты от утечки DNS-запросов через локальный резолвер при подключении клиента через SOCKS4. Tor Browser не использует SOCKS4, поэтому проблема его не касается.
При установке в torrc параметра "SafeSocks 1" в Tor включается режим блокирования запросов, в которых фигурируют IP-адреса вместо имён хостов, так как подобные запросы могут свидетельствовать, что домен открытого через Tor сайта уже определён локальным резолвером, а не полностью транслирован через Tor (т.е. владелец прописанного в параметрах системы DNS-сервера может узнать к какому домену обращался пользователь через Tor).
Уязвимость вызвана ошибкой из-за которой проверка настройки SafeSocks при использовании SOCKS4 инвертировалась и защита не применялась в то время, как пользователь считал, что он защищён от утечек через DNS. Утечка через локальный резолвер происходила при использовании SOCKS4 в приложениях, не поддерживающих
SOCKS4a (расширение, принимающее запросы с именами доменов вместо IP), или в приложениях, поддерживающих SOCKS4a, но откатывающихся до SOCKS4 после выдачи Tor-ом ошибки.
Кроме устранения уязвимости в выпуске The 0.4.7.13 также устранена недоработка в коде управления перегрузкой, которая могла повлиять на работу клиентов и операторов выходных узлов. На платформе Linux реализована поддержка флага IP_BIND_ADDRESS_NO_PORT для релеев, использующих настройку OutboundBindAddress. Также разработчики напоминают, что поддержка ветки 0.4.5.x s будет прекращена 15 февраля и пользователям следует обновить свои системы до ветки 0.4.7.x.
===========
Источник:
OpenNet.RU
===========
Похожие новости
- Главная ссылка к новости (https://forum.torproject.net/t...)
- OpenNews: Выпуск Tor Browser 12.0
- OpenNews: Выпуск Arti 1.1, официальной реализации Tor на языке Rust
- OpenNews: Отчёт о финансировании проекта Tor
- OpenNews: Выпуск новой стабильной ветки Tor 0.4.7
- OpenNews: Новый вариант атаки SAD DNS для подстановки фиктивных данных в кэш DNS
Похожие новости:
- Выявлена подстановка вредоносной зависимости в ночные сборки PyTorch
- Выпуск эмулятора QEMU 7.2
- Выпуск Arti 1.1, официальной реализации Tor на языке Rust
- Выпуск дистрибутива Tails 5.7
- Отчёт о финансировании проекта Tor
- Обновление Firefox 106.0.2 и Tor Browser 11.5.6
- Объявлено о готовности системы криптографической верификации кода Sigstore
- Выпуск PowerDNS Authoritative Server 4.7
- В РФ утверждено создание национального репозитория открытого кода
- Проект PyTorch перешёл под крыло организации Linux Foundation
Теги для поиска: #_tor, #_dns
Вы не можете начинать темы
Вы не можете отвечать на сообщения
Вы не можете редактировать свои сообщения
Вы не можете удалять свои сообщения
Вы не можете голосовать в опросах
Вы не можете прикреплять файлы к сообщениям
Вы не можете скачивать файлы
Текущее время: 22-Ноя 08:19
Часовой пояс: UTC + 5
| Автор | Сообщение |
|---|---|
|
news_bot ®
Стаж: 6 лет 9 месяцев |
|
|
Опубликованы корректирующие выпуски инструментария Tor 0.4.5.16 и 0.4.7.13, используемого для организации работы анонимной сети Tor. В новой версии устранена уязвимость, связанная с нарушением работы защиты от утечки DNS-запросов через локальный резолвер при подключении клиента через SOCKS4. Tor Browser не использует SOCKS4, поэтому проблема его не касается. При установке в torrc параметра "SafeSocks 1" в Tor включается режим блокирования запросов, в которых фигурируют IP-адреса вместо имён хостов, так как подобные запросы могут свидетельствовать, что домен открытого через Tor сайта уже определён локальным резолвером, а не полностью транслирован через Tor (т.е. владелец прописанного в параметрах системы DNS-сервера может узнать к какому домену обращался пользователь через Tor). Уязвимость вызвана ошибкой из-за которой проверка настройки SafeSocks при использовании SOCKS4 инвертировалась и защита не применялась в то время, как пользователь считал, что он защищён от утечек через DNS. Утечка через локальный резолвер происходила при использовании SOCKS4 в приложениях, не поддерживающих SOCKS4a (расширение, принимающее запросы с именами доменов вместо IP), или в приложениях, поддерживающих SOCKS4a, но откатывающихся до SOCKS4 после выдачи Tor-ом ошибки. Кроме устранения уязвимости в выпуске The 0.4.7.13 также устранена недоработка в коде управления перегрузкой, которая могла повлиять на работу клиентов и операторов выходных узлов. На платформе Linux реализована поддержка флага IP_BIND_ADDRESS_NO_PORT для релеев, использующих настройку OutboundBindAddress. Также разработчики напоминают, что поддержка ветки 0.4.5.x s будет прекращена 15 февраля и пользователям следует обновить свои системы до ветки 0.4.7.x. =========== Источник: OpenNet.RU =========== Похожие новости
|
|
Вы не можете начинать темы
Вы не можете отвечать на сообщения
Вы не можете редактировать свои сообщения
Вы не можете удалять свои сообщения
Вы не можете голосовать в опросах
Вы не можете прикреплять файлы к сообщениям
Вы не можете скачивать файлы
Вы не можете отвечать на сообщения
Вы не можете редактировать свои сообщения
Вы не можете удалять свои сообщения
Вы не можете голосовать в опросах
Вы не можете прикреплять файлы к сообщениям
Вы не можете скачивать файлы
Текущее время: 22-Ноя 08:19
Часовой пояс: UTC + 5