Indy OpenSSL Sicherheitsupdates

[Assertor]

Mal wieder ein Update:

Die aktuelle OpenSSL Version 0.9.8r und 1.0.0d sind online.

Fulgan Mirror: http://indy.fulgan.com/SSL/

Direktlinks:
openssl-0.9.8r-i386-win32.zip http://indy.fulgan.com/SSL/openssl-0...i386-win32.zip
openssl-1.0.0d-i386-win32.zip http://indy.fulgan.com/SSL/openssl-1...i386-win32.zip

Beide Versionen laufen mit aktuellen Indy Versionen der letzten ~ 3 Jahre, ich persönliche würde den 1.0.x Build nehmen (2. Link).

Das Update wird von uns dringend empfohlen, da wieder einige kritische Sicherheitslücken gefixt wurden.

Gruß,
Assertor

[r4id3n]

Hallo, gibt es aktuell gar keinen Backport bzw. eine Chance mehr für Indy9? Würde mich auch als Tester anbieten ...

[Assertor]

Und schon wieder ein Update:

Direktlinks:
openssl-0.9.8r-i386-win32-rev2.zip http://indy.fulgan.com/SSL/openssl-0...win32-rev2.zip
openssl-1.0.0d-i386-win32-rev2.zip http://indy.fulgan.com/SSL/openssl-1...win32-rev2.zip

Bei meinen letzten beiden Releases gab es Probleme mit dem Win2000 und XP (<SP3) Support. Beides ist nun gefixt. Bei Interesse gibt es Details dazu in meinem Blog.

@r4id3n: Nein, sowas ist nicht mehr geplant. Ich hatte zuletzt 2008 Tester gesucht, aber es meldete sich niemand. Inzwischen wäre der Aufwand viel zu hoch, da nicht nur die DLLs sondern auch die Datentypen und Importe in den Indy Units angepasst werden müßten. Indy 9 ist ca. 7-8 Jahre alt und die aktuellen DLLs erzeugen schon genug Arbeit durch ihre Testcases etc. Tut mir leid, aber eine Migration zu einer etwas aktuelleren Indy Version wäre da einfacher und sicherer...

Gruß,
Assertor

[Assertor]

Nächstes Update, diesmal nur der 1.0 Branch von einer Sicherheitslücke betroffen:

Direktlinks OpenSSL 1.0.0e
Win x32: http://indy.fulgan.com/SSL/openssl-1...i386-win32.zip
Win x64: http://indy.fulgan.com/SSL/openssl-1...4_86-win64.zip

ReadMe, Hashes und OpenSSL.exe jeweils im ZIP.

Gruß,
Assertor

[Assertor]

Wieder gab es wichtige Bug- und Sicherheitsupdates.

Direktlinks OpenSSL 0.9.8s
Win x32: http://indy.fulgan.com/SSL/openssl-0...i386-win32.zip
Win x64: http://indy.fulgan.com/SSL/openssl-0...4_86-win64.zip

Direktlinks OpenSSL 1.0.0f
Win x32: http://indy.fulgan.com/SSL/openssl-1...i386-win32.zip
Win x64: http://indy.fulgan.com/SSL/openssl-1...4_86-win64.zip

ReadMe, Hashes und OpenSSL.exe jeweils im ZIP. Ob man die Variante 0.9.8 oder 1.0.0 nutzt, ist für Delphi (im Regelfall) irrelevant, daher empfehle ich den 1.0.0f Branch. Die Win x64 Versionen laufen mit XE2 x64 unter Windows (nicht Crossplatform, da DLLs und OSX/FreeBSD OpenSSL selbst bereitstellt).

Gruß,
Assertor

[Assertor]

Die Reise geht weiter:

Direktlinks OpenSSL 0.9.8t
Win x32: http://indy.fulgan.com/SSL/openssl-0...i386-win32.zip
Win x64: http://indy.fulgan.com/SSL/openssl-0...4_86-win64.zip

Direktlinks OpenSSL 1.0.0g
Win x32: http://indy.fulgan.com/SSL/openssl-1...i386-win32.zip
Win x64: http://indy.fulgan.com/SSL/openssl-1...4_86-win64.zip

Diesmal wurde eine mögliche DTLS DoS Attacke gefixt, also Angriffe auf verschlüsselte UDP Kommunikation bei Datagrams (z.B. VoIP oder Audio/Video Streams).

Gruß,
Assertor

[Assertor]

Und, mit etwas Verspätung, wieder Updates:

Direktlinks OpenSSL 0.9.8u
Win x32: http://indy.fulgan.com/SSL/openssl-0...i386-win32.zip
Win x64: http://indy.fulgan.com/SSL/openssl-0...4_86-win64.zip

Direktlinks OpenSSL 1.0.0h
Win x32: http://indy.fulgan.com/SSL/openssl-1...i386-win32.zip
Win x64: http://indy.fulgan.com/SSL/openssl-1...4_86-win64.zip

Direktlinks OpenSSL 1.0.1 (noch nicht getestet)
Win x32: http://indy.fulgan.com/SSL/openssl-1.0.1-i386-win32.zip
Win x64: http://indy.fulgan.com/SSL/openssl-1...4_86-win64.zip

Gruß,
Assertor

[Assertor]

Die aktuellen Updates:

Direktlinks OpenSSL 0.9.8w
Win x32: http://indy.fulgan.com/SSL/openssl-0...i386-win32.zip
Win x64: http://indy.fulgan.com/SSL/openssl-0...4_86-win64.zip

Direktlinks OpenSSL 1.0.0i
Win x32: http://indy.fulgan.com/SSL/openssl-1...i386-win32.zip
Win x64: http://indy.fulgan.com/SSL/openssl-1...4_86-win64.zip

Direktlinks OpenSSL 1.0.1b
Win x32: http://indy.fulgan.com/SSL/openssl-1...i386-win32.zip
Win x64: http://indy.fulgan.com/SSL/openssl-1...4_86-win64.zip

Ich empfehle, ruhig schon auf die 1.0.1b zu wechseln.

Gruß,
Assertor

[mjustin]

OpenSSL 1.0.1h ist vor fünf Tagen erschienen, ist auf indy.fulgan.com aber noch nicht verfügbar, liegt das noch in der normalen Schwankung?
(Ich benötige sie nicht selbst, nur in embarcadero.public.delphi.internet.winsock wurde heute danach gefragt)