Bug 61189

Summary:	Обновить OpenSSL до 3.5.9: исправлены 13 CVE
Product:	Sisyphus	Reporter:	Vitaly Lipatov <lav>
Component:	openssl	Assignee:	Gleb F-Malinovskiy <glebfm>
Status:	RESOLVED FIXED	QA Contact:	qa-sisyphus
Severity:	normal
Priority:	P5	CC:	antohami, glebfm
Version:	unstable
Hardware:	all
OS:	Linux
Bug Depends on:
Bug Blocks:	61190

Description

Vitaly Lipatov 2026-10-23 10:22:38 MSK

Прошу собрать OpenSSL 3.5.9 в Sisyphus.

Это обновление безопасности от 29 сентября 2026 года. По оценке upstream, максимальная серьёзность исправленных CVE — High.

В release notes перечислены 13 исправленных уязвимостей:
- CVE-2026-84782 — повторная отправка сообщений DTLS handshake с устаревшим смещением буфера.
- CVE-2026-35189 — чрезмерное выделение памяти при обработке относительных CRLDP.
- CVE-2026-35191 — завышенный учёт допустимого усиления трафика QUIC до валидации.
- CVE-2026-42772 — CPU DoS из-за квадратичной сложности сборки фрагментов QUIC.
- CVE-2026-54872 — временной побочный канал при умножении точек EC для кривых вне NIST.
- CVE-2026-54873 — DoS через метаданные фрагментов QUIC STREAM.
- CVE-2026-54875 — непостоянное время скалярного умножения SM2 на ARM64 и RISC-V.
- CVE-2026-72897 — выход за границы после SSL_set_SSL_CTX() во время handshake.
- CVE-2026-75804 — отсутствие контроля потока на уровне соединения для потоков QUIC.
- CVE-2026-75805 — разыменование NULL при обработке ответа на отзыв в клиенте CMP.
- CVE-2026-75806 — DoS через неаутентифицированную укороченную запись DTLS 1.2 AEAD.
- CVE-2026-77696 — временной побочный канал при генерации подписи SM2.
- CVE-2026-84784 — неограниченная очередь RETIRE_CONNECTION_ID в реализации QUIC.

Comment 1

Repository Robot 2026-10-28 15:10:04 MSK

openssl3-3.5.9-alt1 -> sisyphus:

Wed Oct 28 2026 Gleb F-Malinovskiy <glebfm@altlinux> 3.5.9-alt1
- Updated to openssl-3.5.9 (fixes CVE-2026-84782, CVE-2026-35189,
  CVE-2026-35191, CVE-2026-42772, CVE-2026-54872, CVE-2026-54873,
  CVE-2026-54875, CVE-2026-72897, CVE-2026-75804, CVE-2026-75805,
  CVE-2026-75806, CVE-2026-77696, CVE-2026-84784) (ALT#61189).