8afcb07b50bbb11411d3138f1bc2f3f3657f33f7
[openssl.git] / CHANGES.md
1 OpenSSL CHANGES
2 ===============
3
4 This is a high-level summary of the most important changes.
5 For a full list of changes, see the [git commit log][log] and
6 pick the appropriate release branch.
7
8   [log]: https://github.com/openssl/openssl/commits/
9
10 OpenSSL Releases
11 ----------------
12
13  - [OpenSSL 3.0](#openssl-30)
14  - [OpenSSL 1.1.1](#openssl-111)
15  - [OpenSSL 1.1.0](#openssl-110)
16  - [OpenSSL 1.0.2](#openssl-102)
17  - [OpenSSL 1.0.1](#openssl-101)
18  - [OpenSSL 1.0.0](#openssl-100)
19  - [OpenSSL 0.9.x](#openssl-09x)
20
21 OpenSSL 3.0
22 -----------
23
24 ### Changes between 1.1.1 and 3.0 [xx XXX xxxx]
25
26 * Deprecated EC_GROUP_precompute_mult(), EC_GROUP_have_precompute_mult(), and
27   EC_KEY_precompute_mult() These functions are not widely used and applications
28   should instead switch to named curves which OpenSSL has hardcoded lookup
29   tables for.
30
31   *Billy Bob Brumley*
32
33  * Deprecated EC_POINTs_mul(). This function is not widely used and applications
34    should instead use the L<EC_POINT_mul(3)> function.
35
36    *Billy Bob Brumley*
37
38  * Removed FIPS_mode() and FIPS_mode_set(). These functions are legacy API's
39    that are not applicable to the new provider model. Applications should
40    instead use EVP_default_properties_is_fips_enabled() and
41    EVP_default_properties_enable_fips().
42
43    *Shane Lontis*
44
45  * The SSL option SSL_OP_IGNORE_UNEXPECTED_EOF is introduced. If that option
46    is set, an unexpected EOF is ignored, it pretends a close notify was received
47    instead and so the returned error becomes SSL_ERROR_ZERO_RETURN.
48
49    *Dmitry Belyavskiy*
50
51  * Deprecated EC_POINT_set_Jprojective_coordinates_GFp() and
52    EC_POINT_get_Jprojective_coordinates_GFp(). These functions are not widely
53    used and applications should instead use the
54    L<EC_POINT_set_affine_coordinates(3)> and
55    L<EC_POINT_get_affine_coordinates(3)> functions.
56
57    *Billy Bob Brumley*
58
59  * Added OSSL_PARAM_BLD to the public interface.  This allows OSSL_PARAM
60    arrays to be more easily constructed via a series of utility functions.
61    Create a parameter builder using OSSL_PARAM_BLD_new(), add parameters using
62    the various push functions and finally convert to a passable OSSL_PARAM
63    array using OSSL_PARAM_BLD_to_param().
64
65    *Paul Dale*
66
67  * EVP_PKEY_get0_RSA(), EVP_PKEY_get0_DSA(), EVP_PKEY_get0_DH(), and
68    EVP_PKEY_get0_EC_KEY() can now handle EVP_PKEYs with provider side
69    internal keys, if they correspond to one of those built in types.
70
71    *Richard Levitte*
72
73  * Added EVP_PKEY_set_type_by_keymgmt(), to initialise an EVP_PKEY to
74    contain a provider side internal key.
75
76    *Richard Levitte*
77
78  * ASN1_verify(), ASN1_digest() and ASN1_sign() have been deprecated.
79    They are old functions that we don't use, and that you could disable with
80    the macro NO_ASN1_OLD.  This goes all the way back to OpenSSL 0.9.7.
81
82    *Richard Levitte*
83
84  * The main project documents (README, NEWS, CHANGES, INSTALL, SUPPORT)
85    have been converted to Markdown with the goal to produce documents
86    which not only look pretty when viewed online in the browser, but
87    remain well readable inside a plain text editor.
88
89    To achieve this goal, a 'minimalistic' Markdown style has been applied
90    which avoids formatting elements that interfere too much with the
91    reading flow in the text file. For example, it
92
93    * avoids [ATX headings][] and uses [setext headings][] instead
94      (which works for `<h1>` and `<h2>` headings only).
95    * avoids [inline links][] and uses [reference links][] instead.
96    * avoids [fenced code blocks][] and uses [indented code blocks][] instead.
97
98      [ATX headings]:         https://github.github.com/gfm/#atx-headings
99      [setext headings]:      https://github.github.com/gfm/#setext-headings
100      [inline links]:         https://github.github.com/gfm/#inline-link
101      [reference links]:      https://github.github.com/gfm/#reference-link
102      [fenced code blocks]:   https://github.github.com/gfm/#fenced-code-blocks
103      [indented code blocks]: https://github.github.com/gfm/#indented-code-blocks
104
105    *Matthias St. Pierre*
106
107  * The test suite is changed to preserve results of each test recipe.
108    A new directory test-runs/ with subdirectories named like the
109    test recipes are created in the build tree for this purpose.
110
111    *Richard Levitte*
112
113  * Added an implementation of CMP and CRMF (RFC 4210, RFC 4211 RFC 6712).
114    This adds crypto/cmp/, crpyto/crmf/, apps/cmp.c, and test/cmp_*.
115    See L<openssl-cmp(1)> and L<OSSL_CMP_exec_IR_ses(3)> as starting points.
116
117    *David von Oheimb, Martin Peylo*
118
119  * Generalized the HTTP client code from crypto/ocsp/ into crpyto/http/.
120    The legacy OCSP-focused and only partly documented API is retained.
121    See L<OSSL_CMP_MSG_http_perform(3)> etc. for details.
122
123    *David von Oheimb*
124
125  * All of the low level RSA functions have been deprecated including:
126
127    RSA_new_method, RSA_size, RSA_security_bits, RSA_get0_pss_params,
128    RSA_get_version, RSA_get0_engine, RSA_generate_key_ex,
129    RSA_generate_multi_prime_key, RSA_X931_derive_ex, RSA_X931_generate_key_ex,
130    RSA_check_key, RSA_check_key_ex, RSA_public_encrypt, RSA_private_encrypt,
131    RSA_public_decrypt, RSA_private_decrypt, RSA_set_default_method,
132    RSA_get_default_method, RSA_null_method, RSA_get_method, RSA_set_method,
133    RSA_PKCS1_OpenSSL, RSA_print_fp, RSA_print, RSA_sign, RSA_verify,
134    RSA_sign_ASN1_OCTET_STRING, RSA_verify_ASN1_OCTET_STRING, RSA_blinding_on,
135    RSA_blinding_off, RSA_setup_blinding, RSA_padding_add_PKCS1_type_1,
136    RSA_padding_check_PKCS1_type_1, RSA_padding_add_PKCS1_type_2,
137    RSA_padding_check_PKCS1_type_2, PKCS1_MGF1, RSA_padding_add_PKCS1_OAEP,
138    RSA_padding_check_PKCS1_OAEP, RSA_padding_add_PKCS1_OAEP_mgf1,
139    RSA_padding_check_PKCS1_OAEP_mgf1, RSA_padding_add_SSLv23,
140    RSA_padding_check_SSLv23, RSA_padding_add_none, RSA_padding_check_none,
141    RSA_padding_add_X931, RSA_padding_check_X931, RSA_X931_hash_id,
142    RSA_verify_PKCS1_PSS, RSA_padding_add_PKCS1_PSS, RSA_verify_PKCS1_PSS_mgf1,
143    RSA_padding_add_PKCS1_PSS_mgf1, RSA_set_ex_data, RSA_get_ex_data,
144    RSA_meth_new, RSA_meth_free, RSA_meth_dup, RSA_meth_get0_name,
145    RSA_meth_set1_name, RSA_meth_get_flags, RSA_meth_set_flags,
146    RSA_meth_get0_app_data, RSA_meth_set0_app_data, RSA_meth_get_pub_enc,
147    RSA_meth_set_pub_enc, RSA_meth_get_pub_dec, RSA_meth_set_pub_dec,
148    RSA_meth_get_priv_enc, RSA_meth_set_priv_enc, RSA_meth_get_priv_dec,
149    RSA_meth_set_priv_dec, RSA_meth_get_mod_exp, RSA_meth_set_mod_exp,
150    RSA_meth_get_bn_mod_exp, RSA_meth_set_bn_mod_exp, RSA_meth_get_init,
151    RSA_meth_set_init, RSA_meth_get_finish, RSA_meth_set_finish,
152    RSA_meth_get_sign, RSA_meth_set_sign, RSA_meth_get_verify,
153    RSA_meth_set_verify, RSA_meth_get_keygen, RSA_meth_set_keygen,
154    RSA_meth_get_multi_prime_keygen and RSA_meth_set_multi_prime_keygen.
155
156    Use of these low level functions has been informally discouraged for a long
157    time.  Instead applications should use L<EVP_PKEY_encrypt_init(3)>,
158    L<EVP_PKEY_encrypt(3)>, L<EVP_PKEY_decrypt_init(3)> and
159    L<EVP_PKEY_decrypt(3)>.
160
161    *Paul Dale*
162
163  * X509 certificates signed using SHA1 are no longer allowed at security
164    level 1 and above.
165    In TLS/SSL the default security level is 1. It can be set either
166    using the cipher string with @SECLEVEL, or calling
167    SSL_CTX_set_security_level(). If the leaf certificate is signed with SHA-1,
168    a call to SSL_CTX_use_certificate() will fail if the security level is not
169    lowered first.
170    Outside TLS/SSL, the default security level is -1 (effectively 0). It can
171    be set using X509_VERIFY_PARAM_set_auth_level() or using the -auth_level
172    options of the apps.
173
174    *Kurt Roeckx*
175
176  * The command line utilities dhparam, dsa, gendsa and dsaparam have been
177    modified to use PKEY APIs.  These commands are now in maintenance mode
178    and no new features will be added to them.
179
180    *Paul Dale*
181
182  * The command line utility rsautl has been deprecated.
183    Instead use the pkeyutl program.
184
185    *Paul Dale*
186
187  * The command line utilities genrsa and rsa have been modified to use PKEY
188    APIs  These commands are now in maintenance mode and no new features will
189    be added to them.
190
191    *Paul Dale*
192
193  * All of the low level DH functions have been deprecated including:
194
195    DH_OpenSSL, DH_set_default_method, DH_get_default_method, DH_set_method,
196    DH_new_method, DH_size, DH_security_bits, DH_get_ex_new_index,
197    DH_set_ex_data, DH_get_ex_data, DH_generate_parameters_ex,
198    DH_check_params_ex, DH_check_ex, DH_check_pub_key_ex,
199    DH_check, DH_check_pub_key, DH_generate_key, DH_compute_key,
200    DH_compute_key_padded, DHparams_print_fp, DHparams_print, DH_get_nid,
201    DH_KDF_X9_42, DH_get0_engine, DH_meth_new, DH_meth_free, DH_meth_dup,
202    DH_meth_get0_name, DH_meth_set1_name, DH_meth_get_flags, DH_meth_set_flags,
203    DH_meth_get0_app_data, DH_meth_set0_app_data, DH_meth_get_generate_key,
204    DH_meth_set_generate_key, DH_meth_get_compute_key, DH_meth_set_compute_key,
205    DH_meth_get_bn_mod_exp, DH_meth_set_bn_mod_exp, DH_meth_get_init,
206    DH_meth_set_init, DH_meth_get_finish, DH_meth_set_finish,
207    DH_meth_get_generate_params and DH_meth_set_generate_params.
208
209    Use of these low level functions has been informally discouraged for a long
210    time.  Instead applications should use L<EVP_PKEY_derive_init(3)>
211    and L<EVP_PKEY_derive(3)>.
212
213    *Paul Dale*
214
215  * All of the low level DSA functions have been deprecated including:
216
217    DSA_do_sign, DSA_do_verify, DSA_OpenSSL, DSA_set_default_method,
218    DSA_get_default_method, DSA_set_method, DSA_get_method,
219    DSA_new_method, DSA_size, DSA_security_bits, DSA_sign_setup, DSA_sign,
220    DSA_verify, DSA_get_ex_new_index, DSA_set_ex_data, DSA_get_ex_data,
221    DSA_generate_parameters_ex, DSA_generate_key, DSA_meth_new, DSA_get0_engine,
222    DSA_meth_free, DSA_meth_dup, DSA_meth_get0_name, DSA_meth_set1_name,
223    DSA_meth_get_flags, DSA_meth_set_flags, DSA_meth_get0_app_data,
224    DSA_meth_set0_app_data, DSA_meth_get_sign, DSA_meth_set_sign,
225    DSA_meth_get_sign_setup, DSA_meth_set_sign_setup, DSA_meth_get_verify,
226    DSA_meth_set_verify, DSA_meth_get_mod_exp, DSA_meth_set_mod_exp,
227    DSA_meth_get_bn_mod_exp, DSA_meth_set_bn_mod_exp, DSA_meth_get_init,
228    DSA_meth_set_init, DSA_meth_get_finish, DSA_meth_set_finish,
229    DSA_meth_get_paramgen, DSA_meth_set_paramgen, DSA_meth_get_keygen and
230    DSA_meth_set_keygen.
231
232    Use of these low level functions has been informally discouraged for a long
233    time.  Instead applications should use L<EVP_DigestSignInit_ex(3)>,
234    L<EVP_DigestSignUpdate(3)> and L<EVP_DigestSignFinal(3)>.
235
236    *Paul Dale*
237
238  * Reworked the treatment of EC EVP_PKEYs with the SM2 curve to
239    automatically become EVP_PKEY_SM2 rather than EVP_PKEY_EC.
240    This means that applications don't have to look at the curve NID and
241    `EVP_PKEY_set_alias_type(pkey, EVP_PKEY_SM2)` to get SM2 computations.
242    However, they still can, that EVP_PKEY_set_alias_type() call acts as
243    a no-op when the EVP_PKEY is already of the given type.
244
245    Parameter and key generation is also reworked to make it possible
246    to generate EVP_PKEY_SM2 parameters and keys without having to go
247    through EVP_PKEY_EC generation and then change the EVP_PKEY type.
248    However, code that does the latter will still work as before.
249
250    *Richard Levitte*
251
252  * Deprecated low level ECDH and ECDSA functions.  These include:
253
254    ECDH_compute_key, ECDSA_do_sign, ECDSA_do_sign_ex, ECDSA_do_verify,
255    ECDSA_sign_setup, ECDSA_sign, ECDSA_sign_ex, ECDSA_verify and
256    ECDSA_size.
257
258    Use of these low level functions has been informally discouraged for a long
259    time.  Instead applications should use the EVP_PKEY_derive(3),
260    EVP_DigestSign(3) and EVP_DigestVerify(3) functions.
261
262    *Paul Dale*
263
264  * Deprecated the EC_KEY_METHOD functions.  These include:
265
266    EC_KEY_METHOD_new, EC_KEY_METHOD_free, EC_KEY_METHOD_set_init,
267    EC_KEY_METHOD_set_keygen, EC_KEY_METHOD_set_compute_key,
268    EC_KEY_METHOD_set_sign, EC_KEY_METHOD_set_verify,
269    EC_KEY_METHOD_get_init, EC_KEY_METHOD_get_keygen,
270    EC_KEY_METHOD_get_compute_key, EC_KEY_METHOD_get_sign and
271    EC_KEY_METHOD_get_verify.
272
273    Instead applications and extension writers should use the OSSL_PROVIDER APIs.
274
275    *Paul Dale*
276
277  * Deprecated EVP_PKEY_decrypt_old(), please use EVP_PKEY_decrypt_init()
278    and EVP_PKEY_decrypt() instead.
279    Deprecated EVP_PKEY_encrypt_old(), please use EVP_PKEY_encrypt_init()
280    and EVP_PKEY_encrypt() instead.
281
282    *Richard Levitte*
283
284  * Enhanced the documentation of EVP_PKEY_size(), EVP_PKEY_bits()
285    and EVP_PKEY_security_bits().  Especially EVP_PKEY_size() needed
286    a new formulation to include all the things it can be used for,
287    as well as words of caution.
288
289    *Richard Levitte*
290
291  * The SSL_CTX_set_tlsext_ticket_key_cb(3) function has been deprecated.
292    Instead used the new SSL_CTX_set_tlsext_ticket_key_evp_cb(3) function.
293
294    *Paul Dale*
295
296  * All of the low level HMAC functions have been deprecated including:
297
298    HMAC, HMAC_size, HMAC_CTX_new, HMAC_CTX_reset, HMAC_CTX_free,
299    HMAC_Init_ex, HMAC_Update, HMAC_Final, HMAC_CTX_copy, HMAC_CTX_set_flags
300    and HMAC_CTX_get_md.
301
302    Use of these low level functions has been informally discouraged for a long
303    time.  Instead applications should use L<EVP_MAC_CTX_new(3)>,
304    L<EVP_MAC_CTX_free(3)>, L<EVP_MAC_init(3)>, L<EVP_MAC_update(3)>
305    and L<EVP_MAC_final(3)>.
306
307    *Paul Dale*
308
309  * Over two thousand fixes were made to the documentation, including:
310    - Common options (such as -rand/-writerand, TLS version control, etc)
311      were refactored and point to newly-enhanced descriptions in openssl.pod.
312    - Added style conformance for all options (with help from Richard Levitte),
313      documented all reported missing options, added a CI build to check
314      that all options are documented and that no unimplemented options
315      are documented.
316    - Documented some internals, such as all use of environment variables.
317    - Addressed all internal broken L<> references.
318
319    *Rich Salz*
320
321  * All of the low level CMAC functions have been deprecated including:
322
323    CMAC_CTX_new, CMAC_CTX_cleanup, CMAC_CTX_free, CMAC_CTX_get0_cipher_ctx,
324    CMAC_CTX_copy, CMAC_Init, CMAC_Update, CMAC_Final and CMAC_resume.
325
326    Use of these low level functions has been informally discouraged for a long
327    time.  Instead applications should use L<EVP_MAC_CTX_new(3)>,
328    L<EVP_MAC_CTX_free(3)>, L<EVP_MAC_init(3)>, L<EVP_MAC_update(3)>
329    and L<EVP_MAC_final(3)>.
330
331    *Paul Dale*
332
333  * All of the low level MD2, MD4, MD5, MDC2, RIPEMD160, SHA1, SHA224, SHA256,
334    SHA384, SHA512 and Whirlpool digest functions have been deprecated.
335    These include:
336
337    MD2, MD2_options, MD2_Init, MD2_Update, MD2_Final, MD4, MD4_Init,
338    MD4_Update, MD4_Final, MD4_Transform, MD5, MD5_Init, MD5_Update,
339    MD5_Final, MD5_Transform, MDC2, MDC2_Init, MDC2_Update, MDC2_Final,
340    RIPEMD160, RIPEMD160_Init, RIPEMD160_Update, RIPEMD160_Final,
341    RIPEMD160_Transform, SHA1_Init, SHA1_Update, SHA1_Final, SHA1_Transform,
342    SHA224_Init, SHA224_Update, SHA224_Final, SHA224_Transform, SHA256_Init,
343    SHA256_Update, SHA256_Final, SHA256_Transform, SHA384, SHA384_Init,
344    SHA384_Update, SHA384_Final, SHA512, SHA512_Init, SHA512_Update,
345    SHA512_Final, SHA512_Transform, WHIRLPOOL, WHIRLPOOL_Init,
346    WHIRLPOOL_Update, WHIRLPOOL_BitUpdate and WHIRLPOOL_Final.
347
348    Use of these low level functions has been informally discouraged
349    for a long time.  Applications should use the EVP_DigestInit_ex(3),
350    EVP_DigestUpdate(3) and EVP_DigestFinal_ex(3) functions instead.
351
352    *Paul Dale*
353
354  * Corrected the documentation of the return values from the `EVP_DigestSign*`
355    set of functions.  The documentation mentioned negative values for some
356    errors, but this was never the case, so the mention of negative values
357    was removed.
358
359    Code that followed the documentation and thereby check with something
360    like `EVP_DigestSignInit(...) <= 0` will continue to work undisturbed.
361
362    *Richard Levitte*
363
364  * All of the low level cipher functions have been deprecated including:
365
366    AES_options, AES_set_encrypt_key, AES_set_decrypt_key, AES_encrypt,
367    AES_decrypt, AES_ecb_encrypt, AES_cbc_encrypt, AES_cfb128_encrypt,
368    AES_cfb1_encrypt, AES_cfb8_encrypt, AES_ofb128_encrypt,
369    AES_wrap_key, AES_unwrap_key, BF_set_key, BF_encrypt, BF_decrypt,
370    BF_ecb_encrypt, BF_cbc_encrypt, BF_cfb64_encrypt, BF_ofb64_encrypt,
371    BF_options, Camellia_set_key, Camellia_encrypt, Camellia_decrypt,
372    Camellia_ecb_encrypt, Camellia_cbc_encrypt, Camellia_cfb128_encrypt,
373    Camellia_cfb1_encrypt, Camellia_cfb8_encrypt, Camellia_ofb128_encrypt,
374    Camellia_ctr128_encrypt, CAST_set_key, CAST_encrypt, CAST_decrypt,
375    CAST_ecb_encrypt, CAST_cbc_encrypt, CAST_cfb64_encrypt,
376    CAST_ofb64_encrypt, DES_options, DES_encrypt1, DES_encrypt2,
377    DES_encrypt3, DES_decrypt3, DES_cbc_encrypt, DES_ncbc_encrypt,
378    DES_pcbc_encrypt, DES_xcbc_encrypt, DES_cfb_encrypt, DES_cfb64_encrypt,
379    DES_ecb_encrypt, DES_ofb_encrypt, DES_ofb64_encrypt, DES_random_key,
380    DES_set_odd_parity, DES_check_key_parity, DES_is_weak_key, DES_set_key,
381    DES_key_sched, DES_set_key_checked, DES_set_key_unchecked,
382    DES_string_to_key, DES_string_to_2keys, DES_fixup_key_parity,
383    DES_ecb2_encrypt, DES_ede2_cbc_encrypt, DES_ede2_cfb64_encrypt,
384    DES_ede2_ofb64_encrypt, DES_ecb3_encrypt, DES_ede3_cbc_encrypt,
385    DES_ede3_cfb64_encrypt, DES_ede3_cfb_encrypt, DES_ede3_ofb64_encrypt,
386    DES_cbc_cksum, DES_quad_cksum, IDEA_encrypt, IDEA_options,
387    IDEA_ecb_encrypt, IDEA_set_encrypt_key, IDEA_set_decrypt_key,
388    IDEA_cbc_encrypt, IDEA_cfb64_encrypt, IDEA_ofb64_encrypt, RC2_set_key,
389    RC2_encrypt, RC2_decrypt, RC2_ecb_encrypt, RC2_cbc_encrypt,
390    RC2_cfb64_encrypt, RC2_ofb64_encrypt, RC4, RC4_options, RC4_set_key,
391    RC5_32_set_key, RC5_32_encrypt, RC5_32_decrypt, RC5_32_ecb_encrypt,
392    RC5_32_cbc_encrypt, RC5_32_cfb64_encrypt, RC5_32_ofb64_encrypt,
393    SEED_set_key, SEED_encrypt, SEED_decrypt, SEED_ecb_encrypt,
394    SEED_cbc_encrypt, SEED_cfb128_encrypt and SEED_ofb128_encrypt.
395
396    Use of these low level functions has been informally discouraged for
397    a long time. Applications should use the high level EVP APIs, e.g.
398    EVP_EncryptInit_ex, EVP_EncryptUpdate, EVP_EncryptFinal_ex, and the
399    equivalently named decrypt functions instead.
400
401    *Matt Caswell and Paul Dale*
402
403  * Removed include/openssl/opensslconf.h.in and replaced it with
404    include/openssl/configuration.h.in, which differs in not including
405    <openssl/macros.h>.  A short header include/openssl/opensslconf.h
406    was added to include both.
407
408    This allows internal hacks where one might need to modify the set
409    of configured macros, for example this if deprecated symbols are
410    still supposed to be available internally:
411
412        #include <openssl/configuration.h>
413
414        #undef OPENSSL_NO_DEPRECATED
415        #define OPENSSL_SUPPRESS_DEPRECATED
416
417        #include <openssl/macros.h>
418
419    This should not be used by applications that use the exported
420    symbols, as that will lead to linking errors.
421
422    *Richard Levitte*
423
424  * Fixed an overflow bug in the x64_64 Montgomery squaring procedure
425    used in exponentiation with 512-bit moduli. No EC algorithms are
426    affected. Analysis suggests that attacks against 2-prime RSA1024,
427    3-prime RSA1536, and DSA1024 as a result of this defect would be very
428    difficult to perform and are not believed likely. Attacks against DH512
429    are considered just feasible. However, for an attack the target would
430    have to re-use the DH512 private key, which is not recommended anyway.
431    Also applications directly using the low level API BN_mod_exp may be
432    affected if they use BN_FLG_CONSTTIME.
433    [CVE-2019-1551][]
434
435    *Andy Polyakov*
436
437  * Most memory-debug features have been deprecated, and the functionality
438    replaced with no-ops.
439
440    *Rich Salz*
441
442  * Added documentation for the STACK API. OpenSSL only defines the STACK
443    functions where they are used.
444
445    *Rich Salz*
446
447  * Introduced a new method type and API, OSSL_SERIALIZER, to
448    represent generic serializers.  An implementation is expected to
449    be able to serialize an object associated with a given name (such
450    as an algorithm name for an asymmetric key) into forms given by
451    implementation properties.
452
453    Serializers are primarily used from inside libcrypto, through
454    calls to functions like EVP_PKEY_print_private(),
455    PEM_write_bio_PrivateKey() and similar.
456
457    Serializers are specified in such a way that they can be made to
458    directly handle the provider side portion of an object, if this
459    provider side part comes from the same provider as the serializer
460    itself, but can also be made to handle objects in parametrized
461    form (as an OSSL_PARAM array of data).  This allows a provider to
462    offer generic serializers as a service for any other provider.
463
464    *Richard Levitte*
465
466  * Added a .pragma directive to the syntax of configuration files, to
467    allow varying behavior in a supported and predictable manner.
468    Currently added pragma:
469
470            .pragma dollarid:on
471
472    This allows dollar signs to be a keyword character unless it's
473    followed by a opening brace or parenthesis.  This is useful for
474    platforms where dollar signs are commonly used in names, such as
475    volume names and system directory names on VMS.
476
477    *Richard Levitte*
478
479  * Added functionality to create an EVP_PKEY from user data.  This
480    is effectively the same as creating a RSA, DH or DSA object and
481    then assigning them to an EVP_PKEY, but directly using algorithm
482    agnostic EVP functions.  A benefit is that this should be future
483    proof for public key algorithms to come.
484
485    *Richard Levitte*
486
487  * Change the interpretation of the '--api' configuration option to
488    mean that this is a desired API compatibility level with no
489    further meaning.  The previous interpretation, that this would
490    also mean to remove all deprecated symbols up to and including
491    the given version, no requires that 'no-deprecated' is also used
492    in the configuration.
493
494    When building applications, the desired API compatibility level
495    can be set with the OPENSSL_API_COMPAT macro like before.  For
496    API compatibility version below 3.0, the old style numerical
497    value is valid as before, such as -DOPENSSL_API_COMPAT=0x10100000L.
498    For version 3.0 and on, the value is expected to be the decimal
499    value calculated from the major and minor version like this:
500
501            MAJOR * 10000 + MINOR * 100
502
503    Examples:
504
505            -DOPENSSL_API_COMPAT=30000             For 3.0
506            -DOPENSSL_API_COMPAT=30200             For 3.2
507
508    To hide declarations that are deprecated up to and including the
509    given API compatibility level, -DOPENSSL_NO_DEPRECATED must be
510    given when building the application as well.
511
512    *Richard Levitte*
513
514  * Added the X509_LOOKUP_METHOD called X509_LOOKUP_store, to allow
515    access to certificate and CRL stores via URIs and OSSL_STORE
516    loaders.
517
518    This adds the following functions:
519
520    - X509_LOOKUP_store()
521    - X509_STORE_load_file()
522    - X509_STORE_load_path()
523    - X509_STORE_load_store()
524    - SSL_add_store_cert_subjects_to_stack()
525    - SSL_CTX_set_default_verify_store()
526    - SSL_CTX_load_verify_file()
527    - SSL_CTX_load_verify_dir()
528    - SSL_CTX_load_verify_store()
529
530    Also, the following functions are now deprecated:
531
532    - X509_STORE_load_locations() (use X509_STORE_load_file(),
533      X509_STORE_load_path() or X509_STORE_load_store() instead)
534    - SSL_CTX_load_verify_locations() (use SSL_CTX_load_verify_file(),
535      SSL_CTX_load_verify_dir() or SSL_CTX_load_verify_store() instead)
536
537    *Richard Levitte*
538
539  * Added a new method to gather entropy on VMS, based on SYS$GET_ENTROPY.
540    The presence of this system service is determined at run-time.
541
542    *Richard Levitte*
543
544  * Added functionality to create an EVP_PKEY context based on data
545    for methods from providers.  This takes an algorithm name and a
546    property query string and simply stores them, with the intent
547    that any operation that uses this context will use those strings
548    to fetch the needed methods implicitly, thereby making the port
549    of application written for pre-3.0 OpenSSL easier.
550
551    *Richard Levitte*
552
553  * The undocumented function NCONF_WIN32() has been deprecated; for
554    conversion details see the HISTORY section of doc/man5/config.pod
555
556    *Rich Salz*
557
558  * Introduced the new functions EVP_DigestSignInit_ex() and
559    EVP_DigestVerifyInit_ex(). The macros EVP_DigestSignUpdate() and
560    EVP_DigestVerifyUpdate() have been converted to functions. See the man
561    pages for further details.
562
563    *Matt Caswell*
564
565  * Over two thousand fixes were made to the documentation, including:
566    adding missing command flags, better style conformance, documentation
567    of internals, etc.
568
569    *Rich Salz, Richard Levitte*
570
571  * s390x assembly pack: add hardware-support for P-256, P-384, P-521,
572    X25519, X448, Ed25519 and Ed448.
573
574    *Patrick Steuer*
575
576  * Print all values for a PKCS#12 attribute with 'openssl pkcs12', not just
577    the first value.
578
579    *Jon Spillett*
580
581  * Deprecated the public definition of ERR_STATE as well as the function
582    ERR_get_state().  This is done in preparation of making ERR_STATE an
583    opaque type.
584
585    *Richard Levitte*
586
587  * Added ERR functionality to give callers access to the stored function
588    names that have replaced the older function code based functions.
589
590    New functions are ERR_get_error_func(), ERR_peek_error_func(),
591    ERR_peek_last_error_func(), ERR_get_error_data(), ERR_peek_error_data(),
592    ERR_peek_last_error_data(), ERR_get_error_all(), ERR_peek_error_all()
593    and ERR_peek_last_error_all().
594
595    These functions have become deprecated: ERR_get_error_line_data(),
596    ERR_peek_error_line_data(), ERR_peek_last_error_line_data() and
597    ERR_func_error_string().
598
599    *Richard Levitte*
600
601  * Extended testing to be verbose for failing tests only.  The make variables
602    VERBOSE_FAILURE or VF can be used to enable this:
603
604            $ make VF=1 test                           # Unix
605            $ mms /macro=(VF=1) test                   ! OpenVMS
606            $ nmake VF=1 test                          # Windows
607
608    *Richard Levitte*
609
610  * For built-in EC curves, ensure an EC_GROUP built from the curve name is
611    used even when parsing explicit parameters, when loading a serialized key
612    or calling `EC_GROUP_new_from_ecpkparameters()`/
613    `EC_GROUP_new_from_ecparameters()`.
614    This prevents bypass of security hardening and performance gains,
615    especially for curves with specialized EC_METHODs.
616    By default, if a key encoded with explicit parameters is loaded and later
617    serialized, the output is still encoded with explicit parameters, even if
618    internally a "named" EC_GROUP is used for computation.
619
620    *Nicola Tuveri*
621
622  * Compute ECC cofactors if not provided during EC_GROUP construction. Before
623    this change, EC_GROUP_set_generator would accept order and/or cofactor as
624    NULL. After this change, only the cofactor parameter can be NULL. It also
625    does some minimal sanity checks on the passed order.
626    [CVE-2019-1547][]
627
628    *Billy Bob Brumley*
629
630  * Fixed a padding oracle in PKCS7_dataDecode and CMS_decrypt_set1_pkey.
631    An attack is simple, if the first CMS_recipientInfo is valid but the
632    second CMS_recipientInfo is chosen ciphertext. If the second
633    recipientInfo decodes to PKCS #1 v1.5 form plaintext, the correct
634    encryption key will be replaced by garbage, and the message cannot be
635    decoded, but if the RSA decryption fails, the correct encryption key is
636    used and the recipient will not notice the attack.
637    As a work around for this potential attack the length of the decrypted
638    key must be equal to the cipher default key length, in case the
639    certifiate is not given and all recipientInfo are tried out.
640    The old behaviour can be re-enabled in the CMS code by setting the
641    CMS_DEBUG_DECRYPT flag.
642
643    *Bernd Edlinger*
644
645  * Early start up entropy quality from the DEVRANDOM seed source has been
646    improved for older Linux systems.  The RAND subsystem will wait for
647    /dev/random to be producing output before seeding from /dev/urandom.
648    The seeded state is stored for future library initialisations using
649    a system global shared memory segment.  The shared memory identifier
650    can be configured by defining OPENSSL_RAND_SEED_DEVRANDOM_SHM_ID to
651    the desired value.  The default identifier is 114.
652
653    *Paul Dale*
654
655  * Revised BN_generate_prime_ex to not avoid factors 2..17863 in p-1
656    when primes for RSA keys are computed.
657    Since we previously always generated primes == 2 (mod 3) for RSA keys,
658    the 2-prime and 3-prime RSA modules were easy to distinguish, since
659    `N = p*q = 1 (mod 3)`, but `N = p*q*r = 2 (mod 3)`. Therefore fingerprinting
660    2-prime vs. 3-prime RSA keys was possible by computing N mod 3.
661    This avoids possible fingerprinting of newly generated RSA modules.
662
663    *Bernd Edlinger*
664
665  * Correct the extended master secret constant on EBCDIC systems. Without this
666    fix TLS connections between an EBCDIC system and a non-EBCDIC system that
667    negotiate EMS will fail. Unfortunately this also means that TLS connections
668    between EBCDIC systems with this fix, and EBCDIC systems without this
669    fix will fail if they negotiate EMS.
670
671    *Matt Caswell*
672
673  * Changed the library initialisation so that the config file is now loaded
674    by default. This was already the case for libssl. It now occurs for both
675    libcrypto and libssl. Use the OPENSSL_INIT_NO_LOAD_CONFIG option to
676    OPENSSL_init_crypto() to suppress automatic loading of a config file.
677
678    *Matt Caswell*
679
680  * Introduced new error raising macros, ERR_raise() and ERR_raise_data(),
681    where the former acts as a replacement for ERR_put_error(), and the
682    latter replaces the combination ERR_put_error()+ERR_add_error_data().
683    ERR_raise_data() adds more flexibility by taking a format string and
684    an arbitrary number of arguments following it, to be processed with
685    BIO_snprintf().
686
687    *Richard Levitte*
688
689  * Introduced a new function, OSSL_PROVIDER_available(), which can be used
690    to check if a named provider is loaded and available.  When called, it
691    will also activate all fallback providers if such are still present.
692
693    *Richard Levitte*
694
695  * Enforce a minimum DH modulus size of 512 bits.
696
697    *Bernd Edlinger*
698
699  * Changed DH parameters to generate the order q subgroup instead of 2q.
700    Previously generated DH parameters are still accepted by DH_check
701    but DH_generate_key works around that by clearing bit 0 of the
702    private key for those. This avoids leaking bit 0 of the private key.
703
704    *Bernd Edlinger*
705
706  * Significantly reduce secure memory usage by the randomness pools.
707
708    *Paul Dale*
709
710  * `{CRYPTO,OPENSSL}_mem_debug_{push,pop}` are now no-ops and have been
711    deprecated.
712
713    *Rich Salz*
714
715  * A new type, EVP_KEYEXCH, has been introduced to represent key exchange
716    algorithms. An implementation of a key exchange algorithm can be obtained
717    by using the function EVP_KEYEXCH_fetch(). An EVP_KEYEXCH algorithm can be
718    used in a call to EVP_PKEY_derive_init_ex() which works in a similar way to
719    the older EVP_PKEY_derive_init() function. See the man pages for the new
720    functions for further details.
721
722    *Matt Caswell*
723
724  * The EVP_PKEY_CTX_set_dh_pad() macro has now been converted to a function.
725
726    *Matt Caswell*
727
728  * Removed the function names from error messages and deprecated the
729    xxx_F_xxx define's.
730
731  * Removed NextStep support and the macro OPENSSL_UNISTD
732
733    *Rich Salz*
734
735  * Removed DES_check_key.  Also removed OPENSSL_IMPLEMENT_GLOBAL,
736    OPENSSL_GLOBAL_REF, OPENSSL_DECLARE_GLOBAL.
737    Also removed "export var as function" capability; we do not export
738    variables, only functions.
739
740    *Rich Salz*
741
742  * RC5_32_set_key has been changed to return an int type, with 0 indicating
743    an error and 1 indicating success. In previous versions of OpenSSL this
744    was a void type. If a key was set longer than the maximum possible this
745    would crash.
746
747    *Matt Caswell*
748
749  * Support SM2 signing and verification schemes with X509 certificate.
750
751    *Paul Yang*
752
753  * Use SHA256 as the default digest for TS query in the ts app.
754
755    *Tomas Mraz*
756
757  * Change PBKDF2 to conform to SP800-132 instead of the older PKCS5 RFC2898.
758    This checks that the salt length is at least 128 bits, the derived key
759    length is at least 112 bits, and that the iteration count is at least 1000.
760    For backwards compatibility these checks are disabled by default in the
761    default provider, but are enabled by default in the fips provider.
762    To enable or disable these checks use the control
763    EVP_KDF_CTRL_SET_PBKDF2_PKCS5_MODE.
764
765    *Shane Lontis*
766
767  * Default cipher lists/suites are now available via a function, the
768    #defines are deprecated.
769
770    *Todd Short*
771
772  * Add target VC-WIN32-UWP, VC-WIN64A-UWP, VC-WIN32-ARM-UWP and
773    VC-WIN64-ARM-UWP in Windows OneCore target for making building libraries
774    for Windows Store apps easier. Also, the "no-uplink" option has been added.
775
776    *Kenji Mouri*
777
778  * Join the directories crypto/x509 and crypto/x509v3
779
780    *Richard Levitte*
781
782  * Change the default RSA, DSA and DH size to 2048 bit instead of 1024.
783    This changes the size when using the genpkey app when no size is given. It
784    fixes an omission in earlier changes that changed all RSA, DSA and DH
785    generation apps to use 2048 bits by default.
786
787    *Kurt Roeckx*
788
789  * Added command 'openssl kdf' that uses the EVP_KDF API.
790
791    *Shane Lontis*
792
793  * Added command 'openssl mac' that uses the EVP_MAC API.
794
795    *Shane Lontis*
796
797  * Added OPENSSL_info() to get diverse built-in OpenSSL data, such
798    as default directories.  Also added the command 'openssl info'
799    for scripting purposes.
800
801    *Richard Levitte*
802
803  * The functions AES_ige_encrypt() and AES_bi_ige_encrypt() have been
804    deprecated. These undocumented functions were never integrated into the EVP
805    layer and implement the AES Infinite Garble Extension (IGE) mode and AES
806    Bi-directional IGE mode. These modes were never formally standardised and
807    usage of these functions is believed to be very small. In particular
808    AES_bi_ige_encrypt() has a known bug. It accepts 2 AES keys, but only one
809    is ever used. The security implications are believed to be minimal, but
810    this issue was never fixed for backwards compatibility reasons. New code
811    should not use these modes.
812
813    *Matt Caswell*
814
815  * Add prediction resistance to the DRBG reseeding process.
816
817    *Paul Dale*
818
819  * Limit the number of blocks in a data unit for AES-XTS to 2^20 as
820    mandated by IEEE Std 1619-2018.
821
822    *Paul Dale*
823
824  * Added newline escaping functionality to a filename when using openssl dgst.
825    This output format is to replicate the output format found in the `*sum`
826    checksum programs. This aims to preserve backward compatibility.
827
828    *Matt Eaton, Richard Levitte, and Paul Dale*
829
830  * Removed the heartbeat message in DTLS feature, as it has very
831    little usage and doesn't seem to fulfill a valuable purpose.
832    The configuration option is now deprecated.
833
834    *Richard Levitte*
835
836  * Changed the output of 'openssl {digestname} < file' to display the
837    digest name in its output.
838
839    *Richard Levitte*
840
841  * Added a new generic trace API which provides support for enabling
842    instrumentation through trace output. This feature is mainly intended
843    as an aid for developers and is disabled by default. To utilize it,
844    OpenSSL needs to be configured with the `enable-trace` option.
845
846    If the tracing API is enabled, the application can activate trace output
847    by registering BIOs as trace channels for a number of tracing and debugging
848    categories.
849
850    The 'openssl' application has been expanded to enable any of the types
851    available via environment variables defined by the user, and serves as
852    one possible example on how to use this functionality.
853
854    *Richard Levitte & Matthias St. Pierre*
855
856  * Added build tests for C++.  These are generated files that only do one
857    thing, to include one public OpenSSL head file each.  This tests that
858    the public header files can be usefully included in a C++ application.
859
860    This test isn't enabled by default.  It can be enabled with the option
861    'enable-buildtest-c++'.
862
863    *Richard Levitte*
864
865  * Add Single Step KDF (EVP_KDF_SS) to EVP_KDF.
866
867    *Shane Lontis*
868
869  * Add KMAC to EVP_MAC.
870
871    *Shane Lontis*
872
873  * Added property based algorithm implementation selection framework to
874    the core.
875
876    *Paul Dale*
877
878  * Added SCA hardening for modular field inversion in EC_GROUP through
879    a new dedicated field_inv() pointer in EC_METHOD.
880    This also addresses a leakage affecting conversions from projective
881    to affine coordinates.
882
883    *Billy Bob Brumley, Nicola Tuveri*
884
885  * Added EVP_KDF, an EVP layer KDF API, to simplify adding KDF and PRF
886    implementations.  This includes an EVP_PKEY to EVP_KDF bridge for
887    those algorithms that were already supported through the EVP_PKEY API
888    (scrypt, TLS1 PRF and HKDF).  The low-level KDF functions for PBKDF2
889    and scrypt are now wrappers that call EVP_KDF.
890
891    *David Makepeace*
892
893  * Build devcrypto engine as a dynamic engine.
894
895    *Eneas U de Queiroz*
896
897  * Add keyed BLAKE2 to EVP_MAC.
898
899    *Antoine Salon*
900
901  * Fix a bug in the computation of the endpoint-pair shared secret used
902    by DTLS over SCTP. This breaks interoperability with older versions
903    of OpenSSL like OpenSSL 1.1.0 and OpenSSL 1.0.2. There is a runtime
904    switch SSL_MODE_DTLS_SCTP_LABEL_LENGTH_BUG (off by default) enabling
905    interoperability with such broken implementations. However, enabling
906    this switch breaks interoperability with correct implementations.
907
908  * Fix a use after free bug in d2i_X509_PUBKEY when overwriting a
909    re-used X509_PUBKEY object if the second PUBKEY is malformed.
910
911    *Bernd Edlinger*
912
913  * Move strictness check from EVP_PKEY_asn1_new() to EVP_PKEY_asn1_add0().
914
915    *Richard Levitte*
916
917  * Change the license to the Apache License v2.0.
918
919    *Richard Levitte*
920
921  * Switch to a new version scheme using three numbers MAJOR.MINOR.PATCH.
922
923    - Major releases (indicated by incrementing the MAJOR release number)
924      may introduce incompatible API/ABI changes.
925    - Minor releases (indicated by incrementing the MINOR release number)
926      may introduce new features but retain API/ABI compatibility.
927    - Patch releases (indicated by incrementing the PATCH number)
928      are intended for bug fixes and other improvements of existing
929      features only (like improving performance or adding documentation)
930      and retain API/ABI compatibility.
931
932    *Richard Levitte*
933
934  * Add support for RFC5297 SIV mode (siv128), including AES-SIV.
935
936    *Todd Short*
937
938  * Remove the 'dist' target and add a tarball building script.  The
939    'dist' target has fallen out of use, and it shouldn't be
940    necessary to configure just to create a source distribution.
941
942    *Richard Levitte*
943
944  * Recreate the OS390-Unix config target.  It no longer relies on a
945    special script like it did for OpenSSL pre-1.1.0.
946
947    *Richard Levitte*
948
949  * Instead of having the source directories listed in Configure, add
950    a 'build.info' keyword SUBDIRS to indicate what sub-directories to
951    look into.
952
953    *Richard Levitte*
954
955  * Add GMAC to EVP_MAC.
956
957    *Paul Dale*
958
959  * Ported the HMAC, CMAC and SipHash EVP_PKEY_METHODs to EVP_MAC.
960
961    *Richard Levitte*
962
963  * Added EVP_MAC, an EVP layer MAC API, to simplify adding MAC
964    implementations.  This includes a generic EVP_PKEY to EVP_MAC bridge,
965    to facilitate the continued use of MACs through raw private keys in
966    functionality such as EVP_DigestSign* and EVP_DigestVerify*.
967
968    *Richard Levitte*
969
970  * Deprecate ECDH_KDF_X9_62() and mark its replacement as internal. Users
971    should use the EVP interface instead (EVP_PKEY_CTX_set_ecdh_kdf_type).
972
973    *Antoine Salon*
974
975  * Added EVP_PKEY_ECDH_KDF_X9_63 and ecdh_KDF_X9_63() as replacements for
976    the EVP_PKEY_ECDH_KDF_X9_62 KDF type and ECDH_KDF_X9_62(). The old names
977    are retained for backwards compatibility.
978
979    *Antoine Salon*
980
981  * AES-XTS mode now enforces that its two keys are different to mitigate
982    the attacked described in "Efficient Instantiations of Tweakable
983    Blockciphers and Refinements to Modes OCB and PMAC" by Phillip Rogaway.
984    Details of this attack can be obtained from:
985    <http://web.cs.ucdavis.edu/%7Erogaway/papers/offsets.pdf>
986
987    *Paul Dale*
988
989  * Rename the object files, i.e. give them other names than in previous
990    versions.  Their names now include the name of the final product, as
991    well as its type mnemonic (bin, lib, shlib).
992
993    *Richard Levitte*
994
995  * Added new option for 'openssl list', '-objects', which will display the
996    list of built in objects, i.e. OIDs with names.
997
998    *Richard Levitte*
999
1000  * Added support for Linux Kernel TLS data-path. The Linux Kernel data-path
1001    improves application performance by removing data copies and providing
1002    applications with zero-copy system calls such as sendfile and splice.
1003
1004    *Boris Pismenny*
1005
1006 OpenSSL 1.1.1
1007 -------------
1008
1009 ### Changes between 1.1.1e and 1.1.1f [xx XXX xxxx]
1010
1011 ### Changes between 1.1.1d and 1.1.1e [17 Mar 2020]
1012
1013  * Properly detect EOF while reading in libssl. Previously if we hit an EOF
1014    while reading in libssl then we would report an error back to the
1015    application (SSL_ERROR_SYSCALL) but errno would be 0. We now add
1016    an error to the stack (which means we instead return SSL_ERROR_SSL) and
1017    therefore give a hint as to what went wrong.
1018
1019    *Matt Caswell*
1020
1021  * Check that ed25519 and ed448 are allowed by the security level. Previously
1022    signature algorithms not using an MD were not being checked that they were
1023    allowed by the security level.
1024
1025    *Kurt Roeckx*
1026
1027  * Fixed SSL_get_servername() behaviour. The behaviour of SSL_get_servername()
1028    was not quite right. The behaviour was not consistent between resumption
1029    and normal handshakes, and also not quite consistent with historical
1030    behaviour. The behaviour in various scenarios has been clarified and
1031    it has been updated to make it match historical behaviour as closely as
1032    possible.
1033
1034    *Matt Caswell*
1035
1036  * *[VMS only]* The header files that the VMS compilers include automatically,
1037    `__DECC_INCLUDE_PROLOGUE.H` and `__DECC_INCLUDE_EPILOGUE.H`, use pragmas
1038    that the C++ compiler doesn't understand.  This is a shortcoming in the
1039    compiler, but can be worked around with `__cplusplus` guards.
1040
1041    C++ applications that use OpenSSL libraries must be compiled using the
1042    qualifier `/NAMES=(AS_IS,SHORTENED)` to be able to use all the OpenSSL
1043    functions.  Otherwise, only functions with symbols of less than 31
1044    characters can be used, as the linker will not be able to successfully
1045    resolve symbols with longer names.
1046
1047    *Richard Levitte*
1048
1049  * Added a new method to gather entropy on VMS, based on SYS$GET_ENTROPY.
1050    The presence of this system service is determined at run-time.
1051
1052    *Richard Levitte*
1053
1054  * Added newline escaping functionality to a filename when using openssl dgst.
1055    This output format is to replicate the output format found in the `*sum`
1056    checksum programs. This aims to preserve backward compatibility.
1057
1058    *Matt Eaton, Richard Levitte, and Paul Dale*
1059
1060  * Print all values for a PKCS#12 attribute with 'openssl pkcs12', not just
1061    the first value.
1062
1063    *Jon Spillett*
1064
1065 ### Changes between 1.1.1c and 1.1.1d [10 Sep 2019]
1066
1067  * Fixed a fork protection issue. OpenSSL 1.1.1 introduced a rewritten random
1068    number generator (RNG). This was intended to include protection in the
1069    event of a fork() system call in order to ensure that the parent and child
1070    processes did not share the same RNG state. However this protection was not
1071    being used in the default case.
1072
1073    A partial mitigation for this issue is that the output from a high
1074    precision timer is mixed into the RNG state so the likelihood of a parent
1075    and child process sharing state is significantly reduced.
1076
1077    If an application already calls OPENSSL_init_crypto() explicitly using
1078    OPENSSL_INIT_ATFORK then this problem does not occur at all.
1079    [CVE-2019-1549][]
1080
1081    *Matthias St. Pierre*
1082
1083  * For built-in EC curves, ensure an EC_GROUP built from the curve name is
1084    used even when parsing explicit parameters, when loading a serialized key
1085    or calling `EC_GROUP_new_from_ecpkparameters()`/
1086    `EC_GROUP_new_from_ecparameters()`.
1087    This prevents bypass of security hardening and performance gains,
1088    especially for curves with specialized EC_METHODs.
1089    By default, if a key encoded with explicit parameters is loaded and later
1090    serialized, the output is still encoded with explicit parameters, even if
1091    internally a "named" EC_GROUP is used for computation.
1092
1093    *Nicola Tuveri*
1094
1095  * Compute ECC cofactors if not provided during EC_GROUP construction. Before
1096    this change, EC_GROUP_set_generator would accept order and/or cofactor as
1097    NULL. After this change, only the cofactor parameter can be NULL. It also
1098    does some minimal sanity checks on the passed order.
1099    [CVE-2019-1547][]
1100
1101    *Billy Bob Brumley*
1102
1103  * Fixed a padding oracle in PKCS7_dataDecode and CMS_decrypt_set1_pkey.
1104    An attack is simple, if the first CMS_recipientInfo is valid but the
1105    second CMS_recipientInfo is chosen ciphertext. If the second
1106    recipientInfo decodes to PKCS #1 v1.5 form plaintext, the correct
1107    encryption key will be replaced by garbage, and the message cannot be
1108    decoded, but if the RSA decryption fails, the correct encryption key is
1109    used and the recipient will not notice the attack.
1110    As a work around for this potential attack the length of the decrypted
1111    key must be equal to the cipher default key length, in case the
1112    certifiate is not given and all recipientInfo are tried out.
1113    The old behaviour can be re-enabled in the CMS code by setting the
1114    CMS_DEBUG_DECRYPT flag.
1115    [CVE-2019-1563][]
1116
1117    *Bernd Edlinger*
1118
1119  * Early start up entropy quality from the DEVRANDOM seed source has been
1120    improved for older Linux systems.  The RAND subsystem will wait for
1121    /dev/random to be producing output before seeding from /dev/urandom.
1122    The seeded state is stored for future library initialisations using
1123    a system global shared memory segment.  The shared memory identifier
1124    can be configured by defining OPENSSL_RAND_SEED_DEVRANDOM_SHM_ID to
1125    the desired value.  The default identifier is 114.
1126
1127    *Paul Dale*
1128
1129  * Correct the extended master secret constant on EBCDIC systems. Without this
1130    fix TLS connections between an EBCDIC system and a non-EBCDIC system that
1131    negotiate EMS will fail. Unfortunately this also means that TLS connections
1132    between EBCDIC systems with this fix, and EBCDIC systems without this
1133    fix will fail if they negotiate EMS.
1134
1135    *Matt Caswell*
1136
1137  * Use Windows installation paths in the mingw builds
1138
1139    Mingw isn't a POSIX environment per se, which means that Windows
1140    paths should be used for installation.
1141    [CVE-2019-1552][]
1142
1143    *Richard Levitte*
1144
1145  * Changed DH_check to accept parameters with order q and 2q subgroups.
1146    With order 2q subgroups the bit 0 of the private key is not secret
1147    but DH_generate_key works around that by clearing bit 0 of the
1148    private key for those. This avoids leaking bit 0 of the private key.
1149
1150    *Bernd Edlinger*
1151
1152  * Significantly reduce secure memory usage by the randomness pools.
1153
1154    *Paul Dale*
1155
1156  * Revert the DEVRANDOM_WAIT feature for Linux systems
1157
1158    The DEVRANDOM_WAIT feature added a select() call to wait for the
1159    /dev/random device to become readable before reading from the
1160    /dev/urandom device.
1161
1162    It turned out that this change had negative side effects on
1163    performance which were not acceptable. After some discussion it
1164    was decided to revert this feature and leave it up to the OS
1165    resp. the platform maintainer to ensure a proper initialization
1166    during early boot time.
1167
1168    *Matthias St. Pierre*
1169
1170 ### Changes between 1.1.1b and 1.1.1c [28 May 2019]
1171
1172  * Add build tests for C++.  These are generated files that only do one
1173    thing, to include one public OpenSSL head file each.  This tests that
1174    the public header files can be usefully included in a C++ application.
1175
1176    This test isn't enabled by default.  It can be enabled with the option
1177    'enable-buildtest-c++'.
1178
1179    *Richard Levitte*
1180
1181  * Enable SHA3 pre-hashing for ECDSA and DSA.
1182
1183    *Patrick Steuer*
1184
1185  * Change the default RSA, DSA and DH size to 2048 bit instead of 1024.
1186    This changes the size when using the genpkey app when no size is given. It
1187    fixes an omission in earlier changes that changed all RSA, DSA and DH
1188    generation apps to use 2048 bits by default.
1189
1190    *Kurt Roeckx*
1191
1192  * Reorganize the manual pages to consistently have RETURN VALUES,
1193    EXAMPLES, SEE ALSO and HISTORY come in that order, and adjust
1194    util/fix-doc-nits accordingly.
1195
1196    *Paul Yang, Joshua Lock*
1197
1198  * Add the missing accessor EVP_PKEY_get0_engine()
1199
1200    *Matt Caswell*
1201
1202  * Have apps like 's_client' and 's_server' output the signature scheme
1203    along with other cipher suite parameters when debugging.
1204
1205    *Lorinczy Zsigmond*
1206
1207  * Make OPENSSL_config() error agnostic again.
1208
1209    *Richard Levitte*
1210
1211  * Do the error handling in RSA decryption constant time.
1212
1213    *Bernd Edlinger*
1214
1215  * Prevent over long nonces in ChaCha20-Poly1305.
1216
1217    ChaCha20-Poly1305 is an AEAD cipher, and requires a unique nonce input
1218    for every encryption operation. RFC 7539 specifies that the nonce value
1219    (IV) should be 96 bits (12 bytes). OpenSSL allows a variable nonce length
1220    and front pads the nonce with 0 bytes if it is less than 12
1221    bytes. However it also incorrectly allows a nonce to be set of up to 16
1222    bytes. In this case only the last 12 bytes are significant and any
1223    additional leading bytes are ignored.
1224
1225    It is a requirement of using this cipher that nonce values are
1226    unique. Messages encrypted using a reused nonce value are susceptible to
1227    serious confidentiality and integrity attacks. If an application changes
1228    the default nonce length to be longer than 12 bytes and then makes a
1229    change to the leading bytes of the nonce expecting the new value to be a
1230    new unique nonce then such an application could inadvertently encrypt
1231    messages with a reused nonce.
1232
1233    Additionally the ignored bytes in a long nonce are not covered by the
1234    integrity guarantee of this cipher. Any application that relies on the
1235    integrity of these ignored leading bytes of a long nonce may be further
1236    affected. Any OpenSSL internal use of this cipher, including in SSL/TLS,
1237    is safe because no such use sets such a long nonce value. However user
1238    applications that use this cipher directly and set a non-default nonce
1239    length to be longer than 12 bytes may be vulnerable.
1240
1241    This issue was reported to OpenSSL on 16th of March 2019 by Joran Dirk
1242    Greef of Ronomon.
1243    [CVE-2019-1543][]
1244
1245    *Matt Caswell*
1246
1247  * Add DEVRANDOM_WAIT feature for Linux systems
1248
1249    On older Linux systems where the getrandom() system call is not available,
1250    OpenSSL normally uses the /dev/urandom device for seeding its CSPRNG.
1251    Contrary to getrandom(), the /dev/urandom device will not block during
1252    early boot when the kernel CSPRNG has not been seeded yet.
1253
1254    To mitigate this known weakness, use select() to wait for /dev/random to
1255    become readable before reading from /dev/urandom.
1256
1257  * Ensure that SM2 only uses SM3 as digest algorithm
1258
1259    *Paul Yang*
1260
1261 ### Changes between 1.1.1a and 1.1.1b [26 Feb 2019]
1262
1263  * Change the info callback signals for the start and end of a post-handshake
1264    message exchange in TLSv1.3. In 1.1.1/1.1.1a we used SSL_CB_HANDSHAKE_START
1265    and SSL_CB_HANDSHAKE_DONE. Experience has shown that many applications get
1266    confused by this and assume that a TLSv1.2 renegotiation has started. This
1267    can break KeyUpdate handling. Instead we no longer signal the start and end
1268    of a post handshake message exchange (although the messages themselves are
1269    still signalled). This could break some applications that were expecting
1270    the old signals. However without this KeyUpdate is not usable for many
1271    applications.
1272
1273    *Matt Caswell*
1274
1275 ### Changes between 1.1.1 and 1.1.1a [20 Nov 2018]
1276
1277  * Timing vulnerability in DSA signature generation
1278
1279    The OpenSSL DSA signature algorithm has been shown to be vulnerable to a
1280    timing side channel attack. An attacker could use variations in the signing
1281    algorithm to recover the private key.
1282
1283    This issue was reported to OpenSSL on 16th October 2018 by Samuel Weiser.
1284    [CVE-2018-0734][]
1285
1286    *Paul Dale*
1287
1288  * Timing vulnerability in ECDSA signature generation
1289
1290    The OpenSSL ECDSA signature algorithm has been shown to be vulnerable to a
1291    timing side channel attack. An attacker could use variations in the signing
1292    algorithm to recover the private key.
1293
1294    This issue was reported to OpenSSL on 25th October 2018 by Samuel Weiser.
1295    [CVE-2018-0735][]
1296
1297    *Paul Dale*
1298
1299  * Fixed the issue that RAND_add()/RAND_seed() silently discards random input
1300    if its length exceeds 4096 bytes. The limit has been raised to a buffer size
1301    of two gigabytes and the error handling improved.
1302
1303    This issue was reported to OpenSSL by Dr. Falko Strenzke. It has been
1304    categorized as a normal bug, not a security issue, because the DRBG reseeds
1305    automatically and is fully functional even without additional randomness
1306    provided by the application.
1307
1308 ### Changes between 1.1.0i and 1.1.1 [11 Sep 2018]
1309
1310  * Add a new ClientHello callback. Provides a callback interface that gives
1311    the application the ability to adjust the nascent SSL object at the
1312    earliest stage of ClientHello processing, immediately after extensions have
1313    been collected but before they have been processed. In particular, this
1314    callback can adjust the supported TLS versions in response to the contents
1315    of the ClientHello
1316
1317    *Benjamin Kaduk*
1318
1319  * Add SM2 base algorithm support.
1320
1321    *Jack Lloyd*
1322
1323  * s390x assembly pack: add (improved) hardware-support for the following
1324    cryptographic primitives: sha3, shake, aes-gcm, aes-ccm, aes-ctr, aes-ofb,
1325    aes-cfb/cfb8, aes-ecb.
1326
1327    *Patrick Steuer*
1328
1329  * Make EVP_PKEY_asn1_new() a bit stricter about its input.  A NULL pem_str
1330    parameter is no longer accepted, as it leads to a corrupt table.  NULL
1331    pem_str is reserved for alias entries only.
1332
1333    *Richard Levitte*
1334
1335  * Use the new ec_scalar_mul_ladder scaffold to implement a specialized ladder
1336    step for prime curves. The new implementation is based on formulae from
1337    differential addition-and-doubling in homogeneous projective coordinates
1338    from Izu-Takagi "A fast parallel elliptic curve multiplication resistant
1339    against side channel attacks" and Brier-Joye "Weierstrass Elliptic Curves
1340    and Side-Channel Attacks" Eq. (8) for y-coordinate recovery, modified
1341    to work in projective coordinates.
1342
1343    *Billy Bob Brumley, Nicola Tuveri*
1344
1345  * Change generating and checking of primes so that the error rate of not
1346    being prime depends on the intended use based on the size of the input.
1347    For larger primes this will result in more rounds of Miller-Rabin.
1348    The maximal error rate for primes with more than 1080 bits is lowered
1349    to 2^-128.
1350
1351    *Kurt Roeckx, Annie Yousar*
1352
1353  * Increase the number of Miller-Rabin rounds for DSA key generating to 64.
1354
1355    *Kurt Roeckx*
1356
1357  * The 'tsget' script is renamed to 'tsget.pl', to avoid confusion when
1358    moving between systems, and to avoid confusion when a Windows build is
1359    done with mingw vs with MSVC.  For POSIX installs, there's still a
1360    symlink or copy named 'tsget' to avoid that confusion as well.
1361
1362    *Richard Levitte*
1363
1364  * Revert blinding in ECDSA sign and instead make problematic addition
1365    length-invariant. Switch even to fixed-length Montgomery multiplication.
1366
1367    *Andy Polyakov*
1368
1369  * Use the new ec_scalar_mul_ladder scaffold to implement a specialized ladder
1370    step for binary curves. The new implementation is based on formulae from
1371    differential addition-and-doubling in mixed Lopez-Dahab projective
1372    coordinates, modified to independently blind the operands.
1373
1374    *Billy Bob Brumley, Sohaib ul Hassan, Nicola Tuveri*
1375
1376  * Add a scaffold to optionally enhance the Montgomery ladder implementation
1377    for `ec_scalar_mul_ladder` (formerly `ec_mul_consttime`) allowing
1378    EC_METHODs to implement their own specialized "ladder step", to take
1379    advantage of more favorable coordinate systems or more efficient
1380    differential addition-and-doubling algorithms.
1381
1382    *Billy Bob Brumley, Sohaib ul Hassan, Nicola Tuveri*
1383
1384  * Modified the random device based seed sources to keep the relevant
1385    file descriptors open rather than reopening them on each access.
1386    This allows such sources to operate in a chroot() jail without
1387    the associated device nodes being available. This behaviour can be
1388    controlled using RAND_keep_random_devices_open().
1389
1390    *Paul Dale*
1391
1392  * Numerous side-channel attack mitigations have been applied. This may have
1393    performance impacts for some algorithms for the benefit of improved
1394    security. Specific changes are noted in this change log by their respective
1395    authors.
1396
1397    *Matt Caswell*
1398
1399  * AIX shared library support overhaul. Switch to AIX "natural" way of
1400    handling shared libraries, which means collecting shared objects of
1401    different versions and bitnesses in one common archive. This allows to
1402    mitigate conflict between 1.0 and 1.1 side-by-side installations. It
1403    doesn't affect the way 3rd party applications are linked, only how
1404    multi-version installation is managed.
1405
1406    *Andy Polyakov*
1407
1408  * Make ec_group_do_inverse_ord() more robust and available to other
1409    EC cryptosystems, so that irrespective of BN_FLG_CONSTTIME, SCA
1410    mitigations are applied to the fallback BN_mod_inverse().
1411    When using this function rather than BN_mod_inverse() directly, new
1412    EC cryptosystem implementations are then safer-by-default.
1413
1414    *Billy Bob Brumley*
1415
1416  * Add coordinate blinding for EC_POINT and implement projective
1417    coordinate blinding for generic prime curves as a countermeasure to
1418    chosen point SCA attacks.
1419
1420    *Sohaib ul Hassan, Nicola Tuveri, Billy Bob Brumley*
1421
1422  * Add blinding to ECDSA and DSA signatures to protect against side channel
1423    attacks discovered by Keegan Ryan (NCC Group).
1424
1425    *Matt Caswell*
1426
1427  * Enforce checking in the pkeyutl command line app to ensure that the input
1428    length does not exceed the maximum supported digest length when performing
1429    a sign, verify or verifyrecover operation.
1430
1431    *Matt Caswell*
1432
1433  * SSL_MODE_AUTO_RETRY is enabled by default. Applications that use blocking
1434    I/O in combination with something like select() or poll() will hang. This
1435    can be turned off again using SSL_CTX_clear_mode().
1436    Many applications do not properly handle non-application data records, and
1437    TLS 1.3 sends more of such records. Setting SSL_MODE_AUTO_RETRY works
1438    around the problems in those applications, but can also break some.
1439    It's recommended to read the manpages about SSL_read(), SSL_write(),
1440    SSL_get_error(), SSL_shutdown(), SSL_CTX_set_mode() and
1441    SSL_CTX_set_read_ahead() again.
1442
1443    *Kurt Roeckx*
1444
1445  * When unlocking a pass phrase protected PEM file or PKCS#8 container, we
1446    now allow empty (zero character) pass phrases.
1447
1448    *Richard Levitte*
1449
1450  * Apply blinding to binary field modular inversion and remove patent
1451    pending (OPENSSL_SUN_GF2M_DIV) BN_GF2m_mod_div implementation.
1452
1453    *Billy Bob Brumley*
1454
1455  * Deprecate ec2_mult.c and unify scalar multiplication code paths for
1456    binary and prime elliptic curves.
1457
1458    *Billy Bob Brumley*
1459
1460  * Remove ECDSA nonce padding: EC_POINT_mul is now responsible for
1461    constant time fixed point multiplication.
1462
1463    *Billy Bob Brumley*
1464
1465  * Revise elliptic curve scalar multiplication with timing attack
1466    defenses: ec_wNAF_mul redirects to a constant time implementation
1467    when computing fixed point and variable point multiplication (which
1468    in OpenSSL are mostly used with secret scalars in keygen, sign,
1469    ECDH derive operations).
1470    *Billy Bob Brumley, Nicola Tuveri, Cesar Pereida García,
1471     Sohaib ul Hassan*
1472
1473  * Updated CONTRIBUTING
1474
1475    *Rich Salz*
1476
1477  * Updated DRBG / RAND to request nonce and additional low entropy
1478    randomness from the system.
1479
1480    *Matthias St. Pierre*
1481
1482  * Updated 'openssl rehash' to use OpenSSL consistent default.
1483
1484    *Richard Levitte*
1485
1486  * Moved the load of the ssl_conf module to libcrypto, which helps
1487    loading engines that libssl uses before libssl is initialised.
1488
1489    *Matt Caswell*
1490
1491  * Added EVP_PKEY_sign() and EVP_PKEY_verify() for EdDSA
1492
1493    *Matt Caswell*
1494
1495  * Fixed X509_NAME_ENTRY_set to get multi-valued RDNs right in all cases.
1496
1497    *Ingo Schwarze, Rich Salz*
1498
1499  * Added output of accepting IP address and port for 'openssl s_server'
1500
1501    *Richard Levitte*
1502
1503  * Added a new API for TLSv1.3 ciphersuites:
1504       SSL_CTX_set_ciphersuites()
1505       SSL_set_ciphersuites()
1506
1507    *Matt Caswell*
1508
1509  * Memory allocation failures consistently add an error to the error
1510    stack.
1511
1512    *Rich Salz*
1513
1514  * Don't use OPENSSL_ENGINES and OPENSSL_CONF environment values
1515    in libcrypto when run as setuid/setgid.
1516
1517    *Bernd Edlinger*
1518
1519  * Load any config file by default when libssl is used.
1520
1521    *Matt Caswell*
1522
1523  * Added new public header file <openssl/rand_drbg.h> and documentation
1524    for the RAND_DRBG API. See manual page RAND_DRBG(7) for an overview.
1525
1526    *Matthias St. Pierre*
1527
1528  * QNX support removed (cannot find contributors to get their approval
1529    for the license change).
1530
1531    *Rich Salz*
1532
1533  * TLSv1.3 replay protection for early data has been implemented. See the
1534    SSL_read_early_data() man page for further details.
1535
1536    *Matt Caswell*
1537
1538  * Separated TLSv1.3 ciphersuite configuration out from TLSv1.2 ciphersuite
1539    configuration. TLSv1.3 ciphersuites are not compatible with TLSv1.2 and
1540    below. Similarly TLSv1.2 ciphersuites are not compatible with TLSv1.3.
1541    In order to avoid issues where legacy TLSv1.2 ciphersuite configuration
1542    would otherwise inadvertently disable all TLSv1.3 ciphersuites the
1543    configuration has been separated out. See the ciphers man page or the
1544    SSL_CTX_set_ciphersuites() man page for more information.
1545
1546    *Matt Caswell*
1547
1548  * On POSIX (BSD, Linux, ...) systems the ocsp(1) command running
1549    in responder mode now supports the new "-multi" option, which
1550    spawns the specified number of child processes to handle OCSP
1551    requests.  The "-timeout" option now also limits the OCSP
1552    responder's patience to wait to receive the full client request
1553    on a newly accepted connection. Child processes are respawned
1554    as needed, and the CA index file is automatically reloaded
1555    when changed.  This makes it possible to run the "ocsp" responder
1556    as a long-running service, making the OpenSSL CA somewhat more
1557    feature-complete.  In this mode, most diagnostic messages logged
1558    after entering the event loop are logged via syslog(3) rather than
1559    written to stderr.
1560
1561    *Viktor Dukhovni*
1562
1563  * Added support for X448 and Ed448. Heavily based on original work by
1564    Mike Hamburg.
1565
1566    *Matt Caswell*
1567
1568  * Extend OSSL_STORE with capabilities to search and to narrow the set of
1569    objects loaded.  This adds the functions OSSL_STORE_expect() and
1570    OSSL_STORE_find() as well as needed tools to construct searches and
1571    get the search data out of them.
1572
1573    *Richard Levitte*
1574
1575  * Support for TLSv1.3 added. Note that users upgrading from an earlier
1576    version of OpenSSL should review their configuration settings to ensure
1577    that they are still appropriate for TLSv1.3. For further information see:
1578    <https://wiki.openssl.org/index.php/TLS1.3>
1579
1580    *Matt Caswell*
1581
1582  * Grand redesign of the OpenSSL random generator
1583
1584    The default RAND method now utilizes an AES-CTR DRBG according to
1585    NIST standard SP 800-90Ar1. The new random generator is essentially
1586    a port of the default random generator from the OpenSSL FIPS 2.0
1587    object module. It is a hybrid deterministic random bit generator
1588    using an AES-CTR bit stream and which seeds and reseeds itself
1589    automatically using trusted system entropy sources.
1590
1591    Some of its new features are:
1592     - Support for multiple DRBG instances with seed chaining.
1593     - The default RAND method makes use of a DRBG.
1594     - There is a public and private DRBG instance.
1595     - The DRBG instances are fork-safe.
1596     - Keep all global DRBG instances on the secure heap if it is enabled.
1597     - The public and private DRBG instance are per thread for lock free
1598       operation
1599
1600    *Paul Dale, Benjamin Kaduk, Kurt Roeckx, Rich Salz, Matthias St. Pierre*
1601
1602  * Changed Configure so it only says what it does and doesn't dump
1603    so much data.  Instead, ./configdata.pm should be used as a script
1604    to display all sorts of configuration data.
1605
1606    *Richard Levitte*
1607
1608  * Added processing of "make variables" to Configure.
1609
1610    *Richard Levitte*
1611
1612  * Added SHA512/224 and SHA512/256 algorithm support.
1613
1614    *Paul Dale*
1615
1616  * The last traces of Netware support, first removed in 1.1.0, have
1617    now been removed.
1618
1619    *Rich Salz*
1620
1621  * Get rid of Makefile.shared, and in the process, make the processing
1622    of certain files (rc.obj, or the .def/.map/.opt files produced from
1623    the ordinal files) more visible and hopefully easier to trace and
1624    debug (or make silent).
1625
1626    *Richard Levitte*
1627
1628  * Make it possible to have environment variable assignments as
1629    arguments to config / Configure.
1630
1631    *Richard Levitte*
1632
1633  * Add multi-prime RSA (RFC 8017) support.
1634
1635    *Paul Yang*
1636
1637  * Add SM3 implemented according to GB/T 32905-2016
1638    * Jack Lloyd <jack.lloyd@ribose.com>,
1639      Ronald Tse <ronald.tse@ribose.com>,
1640      Erick Borsboom <erick.borsboom@ribose.com> *
1641
1642  * Add 'Maximum Fragment Length' TLS extension negotiation and support
1643    as documented in RFC6066.
1644    Based on a patch from Tomasz Moń
1645
1646    *Filipe Raimundo da Silva*
1647
1648  * Add SM4 implemented according to GB/T 32907-2016.
1649    * Jack Lloyd <jack.lloyd@ribose.com>,
1650      Ronald Tse <ronald.tse@ribose.com>,
1651      Erick Borsboom <erick.borsboom@ribose.com> *
1652
1653  * Reimplement -newreq-nodes and ERR_error_string_n; the
1654    original author does not agree with the license change.
1655
1656    *Rich Salz*
1657
1658  * Add ARIA AEAD TLS support.
1659
1660    *Jon Spillett*
1661
1662  * Some macro definitions to support VS6 have been removed.  Visual
1663    Studio 6 has not worked since 1.1.0
1664
1665    *Rich Salz*
1666
1667  * Add ERR_clear_last_mark(), to allow callers to clear the last mark
1668    without clearing the errors.
1669
1670    *Richard Levitte*
1671
1672  * Add "atfork" functions.  If building on a system that without
1673    pthreads, see doc/man3/OPENSSL_fork_prepare.pod for application
1674    requirements.  The RAND facility now uses/requires this.
1675
1676    *Rich Salz*
1677
1678  * Add SHA3.
1679
1680    *Andy Polyakov*
1681
1682  * The UI API becomes a permanent and integral part of libcrypto, i.e.
1683    not possible to disable entirely.  However, it's still possible to
1684    disable the console reading UI method, UI_OpenSSL() (use UI_null()
1685    as a fallback).
1686
1687    To disable, configure with 'no-ui-console'.  'no-ui' is still
1688    possible to use as an alias.  Check at compile time with the
1689    macro OPENSSL_NO_UI_CONSOLE.  The macro OPENSSL_NO_UI is still
1690    possible to check and is an alias for OPENSSL_NO_UI_CONSOLE.
1691
1692    *Richard Levitte*
1693
1694  * Add a STORE module, which implements a uniform and URI based reader of
1695    stores that can contain keys, certificates, CRLs and numerous other
1696    objects.  The main API is loosely based on a few stdio functions,
1697    and includes OSSL_STORE_open, OSSL_STORE_load, OSSL_STORE_eof,
1698    OSSL_STORE_error and OSSL_STORE_close.
1699    The implementation uses backends called "loaders" to implement arbitrary
1700    URI schemes.  There is one built in "loader" for the 'file' scheme.
1701
1702    *Richard Levitte*
1703
1704  * Add devcrypto engine.  This has been implemented against cryptodev-linux,
1705    then adjusted to work on FreeBSD 8.4 as well.
1706    Enable by configuring with 'enable-devcryptoeng'.  This is done by default
1707    on BSD implementations, as cryptodev.h is assumed to exist on all of them.
1708
1709    *Richard Levitte*
1710
1711  * Module names can prefixed with OSSL_ or OPENSSL_.  This affects
1712    util/mkerr.pl, which is adapted to allow those prefixes, leading to
1713    error code calls like this:
1714
1715            OSSL_FOOerr(OSSL_FOO_F_SOMETHING, OSSL_FOO_R_WHATEVER);
1716
1717    With this change, we claim the namespaces OSSL and OPENSSL in a manner
1718    that can be encoded in C.  For the foreseeable future, this will only
1719    affect new modules.
1720
1721    *Richard Levitte and Tim Hudson*
1722
1723  * Removed BSD cryptodev engine.
1724
1725    *Rich Salz*
1726
1727  * Add a build target 'build_all_generated', to build all generated files
1728    and only that.  This can be used to prepare everything that requires
1729    things like perl for a system that lacks perl and then move everything
1730    to that system and do the rest of the build there.
1731
1732    *Richard Levitte*
1733
1734  * In the UI interface, make it possible to duplicate the user data.  This
1735    can be used by engines that need to retain the data for a longer time
1736    than just the call where this user data is passed.
1737
1738    *Richard Levitte*
1739
1740  * Ignore the '-named_curve auto' value for compatibility of applications
1741    with OpenSSL 1.0.2.
1742
1743    *Tomas Mraz <tmraz@fedoraproject.org>*
1744
1745  * Fragmented SSL/TLS alerts are no longer accepted. An alert message is 2
1746    bytes long. In theory it is permissible in SSLv3 - TLSv1.2 to fragment such
1747    alerts across multiple records (some of which could be empty). In practice
1748    it make no sense to send an empty alert record, or to fragment one. TLSv1.3
1749    prohibits this altogether and other libraries (BoringSSL, NSS) do not
1750    support this at all. Supporting it adds significant complexity to the
1751    record layer, and its removal is unlikely to cause interoperability
1752    issues.
1753
1754    *Matt Caswell*
1755
1756  * Add the ASN.1 types INT32, UINT32, INT64, UINT64 and variants prefixed
1757    with Z.  These are meant to replace LONG and ZLONG and to be size safe.
1758    The use of LONG and ZLONG is discouraged and scheduled for deprecation
1759    in OpenSSL 1.2.0.
1760
1761    *Richard Levitte*
1762
1763  * Add the 'z' and 'j' modifiers to BIO_printf() et al formatting string,
1764    'z' is to be used for [s]size_t, and 'j' - with [u]int64_t.
1765
1766    *Richard Levitte, Andy Polyakov*
1767
1768  * Add EC_KEY_get0_engine(), which does for EC_KEY what RSA_get0_engine()
1769    does for RSA, etc.
1770
1771    *Richard Levitte*
1772
1773  * Have 'config' recognise 64-bit mingw and choose 'mingw64' as the target
1774    platform rather than 'mingw'.
1775
1776    *Richard Levitte*
1777
1778  * The functions X509_STORE_add_cert and X509_STORE_add_crl return
1779    success if they are asked to add an object which already exists
1780    in the store. This change cascades to other functions which load
1781    certificates and CRLs.
1782
1783    *Paul Dale*
1784
1785  * x86_64 assembly pack: annotate code with DWARF CFI directives to
1786    facilitate stack unwinding even from assembly subroutines.
1787
1788    *Andy Polyakov*
1789
1790  * Remove VAX C specific definitions of OPENSSL_EXPORT, OPENSSL_EXTERN.
1791    Also remove OPENSSL_GLOBAL entirely, as it became a no-op.
1792
1793    *Richard Levitte*
1794
1795  * Remove the VMS-specific reimplementation of gmtime from crypto/o_times.c.
1796    VMS C's RTL has a fully up to date gmtime() and gmtime_r() since V7.1,
1797    which is the minimum version we support.
1798
1799    *Richard Levitte*
1800
1801  * Certificate time validation (X509_cmp_time) enforces stricter
1802    compliance with RFC 5280. Fractional seconds and timezone offsets
1803    are no longer allowed.
1804
1805    *Emilia Käsper*
1806
1807  * Add support for ARIA
1808
1809    *Paul Dale*
1810
1811  * s_client will now send the Server Name Indication (SNI) extension by
1812    default unless the new "-noservername" option is used. The server name is
1813    based on the host provided to the "-connect" option unless overridden by
1814    using "-servername".
1815
1816    *Matt Caswell*
1817
1818  * Add support for SipHash
1819
1820    *Todd Short*
1821
1822  * OpenSSL now fails if it receives an unrecognised record type in TLS1.0
1823    or TLS1.1. Previously this only happened in SSLv3 and TLS1.2. This is to
1824    prevent issues where no progress is being made and the peer continually
1825    sends unrecognised record types, using up resources processing them.
1826
1827    *Matt Caswell*
1828
1829  * 'openssl passwd' can now produce SHA256 and SHA512 based output,
1830    using the algorithm defined in
1831    <https://www.akkadia.org/drepper/SHA-crypt.txt>
1832
1833    *Richard Levitte*
1834
1835  * Heartbeat support has been removed; the ABI is changed for now.
1836
1837    *Richard Levitte, Rich Salz*
1838
1839  * Support for SSL_OP_NO_ENCRYPT_THEN_MAC in SSL_CONF_cmd.
1840
1841    *Emilia Käsper*
1842
1843  * The RSA "null" method, which was partially supported to avoid patent
1844    issues, has been replaced to always returns NULL.
1845
1846    *Rich Salz*
1847
1848 OpenSSL 1.1.0
1849 -------------
1850
1851 ### Changes between 1.1.0k and 1.1.0l [10 Sep 2019]
1852
1853  * For built-in EC curves, ensure an EC_GROUP built from the curve name is
1854    used even when parsing explicit parameters, when loading a serialized key
1855    or calling `EC_GROUP_new_from_ecpkparameters()`/
1856    `EC_GROUP_new_from_ecparameters()`.
1857    This prevents bypass of security hardening and performance gains,
1858    especially for curves with specialized EC_METHODs.
1859    By default, if a key encoded with explicit parameters is loaded and later
1860    serialized, the output is still encoded with explicit parameters, even if
1861    internally a "named" EC_GROUP is used for computation.
1862
1863    *Nicola Tuveri*
1864
1865  * Compute ECC cofactors if not provided during EC_GROUP construction. Before
1866    this change, EC_GROUP_set_generator would accept order and/or cofactor as
1867    NULL. After this change, only the cofactor parameter can be NULL. It also
1868    does some minimal sanity checks on the passed order.
1869    [CVE-2019-1547][]
1870
1871    *Billy Bob Brumley*
1872
1873  * Fixed a padding oracle in PKCS7_dataDecode and CMS_decrypt_set1_pkey.
1874    An attack is simple, if the first CMS_recipientInfo is valid but the
1875    second CMS_recipientInfo is chosen ciphertext. If the second
1876    recipientInfo decodes to PKCS #1 v1.5 form plaintext, the correct
1877    encryption key will be replaced by garbage, and the message cannot be
1878    decoded, but if the RSA decryption fails, the correct encryption key is
1879    used and the recipient will not notice the attack.
1880    As a work around for this potential attack the length of the decrypted
1881    key must be equal to the cipher default key length, in case the
1882    certifiate is not given and all recipientInfo are tried out.
1883    The old behaviour can be re-enabled in the CMS code by setting the
1884    CMS_DEBUG_DECRYPT flag.
1885    [CVE-2019-1563][]
1886
1887    *Bernd Edlinger*
1888
1889  * Use Windows installation paths in the mingw builds
1890
1891    Mingw isn't a POSIX environment per se, which means that Windows
1892    paths should be used for installation.
1893    [CVE-2019-1552][]
1894
1895    *Richard Levitte*
1896
1897 ### Changes between 1.1.0j and 1.1.0k [28 May 2019]
1898
1899  * Change the default RSA, DSA and DH size to 2048 bit instead of 1024.
1900    This changes the size when using the genpkey app when no size is given. It
1901    fixes an omission in earlier changes that changed all RSA, DSA and DH
1902    generation apps to use 2048 bits by default.
1903
1904    *Kurt Roeckx*
1905
1906  * Prevent over long nonces in ChaCha20-Poly1305.
1907
1908    ChaCha20-Poly1305 is an AEAD cipher, and requires a unique nonce input
1909    for every encryption operation. RFC 7539 specifies that the nonce value
1910    (IV) should be 96 bits (12 bytes). OpenSSL allows a variable nonce length
1911    and front pads the nonce with 0 bytes if it is less than 12
1912    bytes. However it also incorrectly allows a nonce to be set of up to 16
1913    bytes. In this case only the last 12 bytes are significant and any
1914    additional leading bytes are ignored.
1915
1916    It is a requirement of using this cipher that nonce values are
1917    unique. Messages encrypted using a reused nonce value are susceptible to
1918    serious confidentiality and integrity attacks. If an application changes
1919    the default nonce length to be longer than 12 bytes and then makes a
1920    change to the leading bytes of the nonce expecting the new value to be a
1921    new unique nonce then such an application could inadvertently encrypt
1922    messages with a reused nonce.
1923
1924    Additionally the ignored bytes in a long nonce are not covered by the
1925    integrity guarantee of this cipher. Any application that relies on the
1926    integrity of these ignored leading bytes of a long nonce may be further
1927    affected. Any OpenSSL internal use of this cipher, including in SSL/TLS,
1928    is safe because no such use sets such a long nonce value. However user
1929    applications that use this cipher directly and set a non-default nonce
1930    length to be longer than 12 bytes may be vulnerable.
1931
1932    This issue was reported to OpenSSL on 16th of March 2019 by Joran Dirk
1933    Greef of Ronomon.
1934    [CVE-2019-1543][]
1935
1936    *Matt Caswell*
1937
1938  * Added SCA hardening for modular field inversion in EC_GROUP through
1939    a new dedicated field_inv() pointer in EC_METHOD.
1940    This also addresses a leakage affecting conversions from projective
1941    to affine coordinates.
1942
1943    *Billy Bob Brumley, Nicola Tuveri*
1944
1945  * Fix a use after free bug in d2i_X509_PUBKEY when overwriting a
1946    re-used X509_PUBKEY object if the second PUBKEY is malformed.
1947
1948    *Bernd Edlinger*
1949
1950  * Move strictness check from EVP_PKEY_asn1_new() to EVP_PKEY_asn1_add0().
1951
1952    *Richard Levitte*
1953
1954  * Remove the 'dist' target and add a tarball building script.  The
1955    'dist' target has fallen out of use, and it shouldn't be
1956    necessary to configure just to create a source distribution.
1957
1958    *Richard Levitte*
1959
1960 ### Changes between 1.1.0i and 1.1.0j [20 Nov 2018]
1961
1962  * Timing vulnerability in DSA signature generation
1963
1964    The OpenSSL DSA signature algorithm has been shown to be vulnerable to a
1965    timing side channel attack. An attacker could use variations in the signing
1966    algorithm to recover the private key.
1967
1968    This issue was reported to OpenSSL on 16th October 2018 by Samuel Weiser.
1969    [CVE-2018-0734][]
1970
1971    *Paul Dale*
1972
1973  * Timing vulnerability in ECDSA signature generation
1974
1975    The OpenSSL ECDSA signature algorithm has been shown to be vulnerable to a
1976    timing side channel attack. An attacker could use variations in the signing
1977    algorithm to recover the private key.
1978
1979    This issue was reported to OpenSSL on 25th October 2018 by Samuel Weiser.
1980    [CVE-2018-0735][]
1981
1982    *Paul Dale*
1983
1984  * Add coordinate blinding for EC_POINT and implement projective
1985    coordinate blinding for generic prime curves as a countermeasure to
1986    chosen point SCA attacks.
1987
1988    *Sohaib ul Hassan, Nicola Tuveri, Billy Bob Brumley*
1989
1990 ### Changes between 1.1.0h and 1.1.0i [14 Aug 2018]
1991
1992  * Client DoS due to large DH parameter
1993
1994    During key agreement in a TLS handshake using a DH(E) based ciphersuite a
1995    malicious server can send a very large prime value to the client. This will
1996    cause the client to spend an unreasonably long period of time generating a
1997    key for this prime resulting in a hang until the client has finished. This
1998    could be exploited in a Denial Of Service attack.
1999
2000    This issue was reported to OpenSSL on 5th June 2018 by Guido Vranken
2001    [CVE-2018-0732][]
2002
2003    *Guido Vranken*
2004
2005  * Cache timing vulnerability in RSA Key Generation
2006
2007    The OpenSSL RSA Key generation algorithm has been shown to be vulnerable to
2008    a cache timing side channel attack. An attacker with sufficient access to
2009    mount cache timing attacks during the RSA key generation process could
2010    recover the private key.
2011
2012    This issue was reported to OpenSSL on 4th April 2018 by Alejandro Cabrera
2013    Aldaya, Billy Brumley, Cesar Pereida Garcia and Luis Manuel Alvarez Tapia.
2014    [CVE-2018-0737][]
2015
2016    *Billy Brumley*
2017
2018  * Make EVP_PKEY_asn1_new() a bit stricter about its input.  A NULL pem_str
2019    parameter is no longer accepted, as it leads to a corrupt table.  NULL
2020    pem_str is reserved for alias entries only.
2021
2022    *Richard Levitte*
2023
2024  * Revert blinding in ECDSA sign and instead make problematic addition
2025    length-invariant. Switch even to fixed-length Montgomery multiplication.
2026
2027    *Andy Polyakov*
2028
2029  * Change generating and checking of primes so that the error rate of not
2030    being prime depends on the intended use based on the size of the input.
2031    For larger primes this will result in more rounds of Miller-Rabin.
2032    The maximal error rate for primes with more than 1080 bits is lowered
2033    to 2^-128.
2034
2035    *Kurt Roeckx, Annie Yousar*
2036
2037  * Increase the number of Miller-Rabin rounds for DSA key generating to 64.
2038
2039    *Kurt Roeckx*
2040
2041  * Add blinding to ECDSA and DSA signatures to protect against side channel
2042    attacks discovered by Keegan Ryan (NCC Group).
2043
2044    *Matt Caswell*
2045
2046  * When unlocking a pass phrase protected PEM file or PKCS#8 container, we
2047    now allow empty (zero character) pass phrases.
2048
2049    *Richard Levitte*
2050
2051  * Certificate time validation (X509_cmp_time) enforces stricter
2052    compliance with RFC 5280. Fractional seconds and timezone offsets
2053    are no longer allowed.
2054
2055    *Emilia Käsper*
2056
2057  * Fixed a text canonicalisation bug in CMS
2058
2059    Where a CMS detached signature is used with text content the text goes
2060    through a canonicalisation process first prior to signing or verifying a
2061    signature. This process strips trailing space at the end of lines, converts
2062    line terminators to CRLF and removes additional trailing line terminators
2063    at the end of a file. A bug in the canonicalisation process meant that
2064    some characters, such as form-feed, were incorrectly treated as whitespace
2065    and removed. This is contrary to the specification (RFC5485). This fix
2066    could mean that detached text data signed with an earlier version of
2067    OpenSSL 1.1.0 may fail to verify using the fixed version, or text data
2068    signed with a fixed OpenSSL may fail to verify with an earlier version of
2069    OpenSSL 1.1.0. A workaround is to only verify the canonicalised text data
2070    and use the "-binary" flag (for the "cms" command line application) or set
2071    the SMIME_BINARY/PKCS7_BINARY/CMS_BINARY flags (if using CMS_verify()).
2072
2073    *Matt Caswell*
2074
2075 ### Changes between 1.1.0g and 1.1.0h [27 Mar 2018]
2076
2077  * Constructed ASN.1 types with a recursive definition could exceed the stack
2078
2079    Constructed ASN.1 types with a recursive definition (such as can be found
2080    in PKCS7) could eventually exceed the stack given malicious input with
2081    excessive recursion. This could result in a Denial Of Service attack. There
2082    are no such structures used within SSL/TLS that come from untrusted sources
2083    so this is considered safe.
2084
2085    This issue was reported to OpenSSL on 4th January 2018 by the OSS-fuzz
2086    project.
2087    [CVE-2018-0739][]
2088
2089    *Matt Caswell*
2090
2091  * Incorrect CRYPTO_memcmp on HP-UX PA-RISC
2092
2093    Because of an implementation bug the PA-RISC CRYPTO_memcmp function is
2094    effectively reduced to only comparing the least significant bit of each
2095    byte. This allows an attacker to forge messages that would be considered as
2096    authenticated in an amount of tries lower than that guaranteed by the
2097    security claims of the scheme. The module can only be compiled by the
2098    HP-UX assembler, so that only HP-UX PA-RISC targets are affected.
2099
2100    This issue was reported to OpenSSL on 2nd March 2018 by Peter Waltenberg
2101    (IBM).
2102    [CVE-2018-0733][]
2103
2104    *Andy Polyakov*
2105
2106  * Add a build target 'build_all_generated', to build all generated files
2107    and only that.  This can be used to prepare everything that requires
2108    things like perl for a system that lacks perl and then move everything
2109    to that system and do the rest of the build there.
2110
2111    *Richard Levitte*
2112
2113  * Backport SSL_OP_NO_RENGOTIATION
2114
2115    OpenSSL 1.0.2 and below had the ability to disable renegotiation using the
2116    (undocumented) SSL3_FLAGS_NO_RENEGOTIATE_CIPHERS flag. Due to the opacity
2117    changes this is no longer possible in 1.1.0. Therefore the new
2118    SSL_OP_NO_RENEGOTIATION option from 1.1.1-dev has been backported to
2119    1.1.0 to provide equivalent functionality.
2120
2121    Note that if an application built against 1.1.0h headers (or above) is run
2122    using an older version of 1.1.0 (prior to 1.1.0h) then the option will be
2123    accepted but nothing will happen, i.e. renegotiation will not be prevented.
2124
2125    *Matt Caswell*
2126
2127  * Removed the OS390-Unix config target.  It relied on a script that doesn't
2128    exist.
2129
2130    *Rich Salz*
2131
2132  * rsaz_1024_mul_avx2 overflow bug on x86_64
2133
2134    There is an overflow bug in the AVX2 Montgomery multiplication procedure
2135    used in exponentiation with 1024-bit moduli. No EC algorithms are affected.
2136    Analysis suggests that attacks against RSA and DSA as a result of this
2137    defect would be very difficult to perform and are not believed likely.
2138    Attacks against DH1024 are considered just feasible, because most of the
2139    work necessary to deduce information about a private key may be performed
2140    offline. The amount of resources required for such an attack would be
2141    significant. However, for an attack on TLS to be meaningful, the server
2142    would have to share the DH1024 private key among multiple clients, which is
2143    no longer an option since CVE-2016-0701.
2144
2145    This only affects processors that support the AVX2 but not ADX extensions
2146    like Intel Haswell (4th generation).
2147
2148    This issue was reported to OpenSSL by David Benjamin (Google). The issue
2149    was originally found via the OSS-Fuzz project.
2150    [CVE-2017-3738][]
2151
2152    *Andy Polyakov*
2153
2154 ### Changes between 1.1.0f and 1.1.0g [2 Nov 2017]
2155
2156  * bn_sqrx8x_internal carry bug on x86_64
2157
2158    There is a carry propagating bug in the x86_64 Montgomery squaring
2159    procedure. No EC algorithms are affected. Analysis suggests that attacks
2160    against RSA and DSA as a result of this defect would be very difficult to
2161    perform and are not believed likely. Attacks against DH are considered just
2162    feasible (although very difficult) because most of the work necessary to
2163    deduce information about a private key may be performed offline. The amount
2164    of resources required for such an attack would be very significant and
2165    likely only accessible to a limited number of attackers. An attacker would
2166    additionally need online access to an unpatched system using the target
2167    private key in a scenario with persistent DH parameters and a private
2168    key that is shared between multiple clients.
2169
2170    This only affects processors that support the BMI1, BMI2 and ADX extensions
2171    like Intel Broadwell (5th generation) and later or AMD Ryzen.
2172
2173    This issue was reported to OpenSSL by the OSS-Fuzz project.
2174    [CVE-2017-3736][]
2175
2176    *Andy Polyakov*
2177
2178  * Malformed X.509 IPAddressFamily could cause OOB read
2179
2180    If an X.509 certificate has a malformed IPAddressFamily extension,
2181    OpenSSL could do a one-byte buffer overread. The most likely result
2182    would be an erroneous display of the certificate in text format.
2183
2184    This issue was reported to OpenSSL by the OSS-Fuzz project.
2185    [CVE-2017-3735][]
2186
2187    *Rich Salz*
2188
2189 ### Changes between 1.1.0e and 1.1.0f [25 May 2017]
2190
2191  * Have 'config' recognise 64-bit mingw and choose 'mingw64' as the target
2192    platform rather than 'mingw'.
2193
2194    *Richard Levitte*
2195
2196  * Remove the VMS-specific reimplementation of gmtime from crypto/o_times.c.
2197    VMS C's RTL has a fully up to date gmtime() and gmtime_r() since V7.1,
2198    which is the minimum version we support.
2199
2200    *Richard Levitte*
2201
2202 ### Changes between 1.1.0d and 1.1.0e [16 Feb 2017]
2203
2204  * Encrypt-Then-Mac renegotiation crash
2205
2206    During a renegotiation handshake if the Encrypt-Then-Mac extension is
2207    negotiated where it was not in the original handshake (or vice-versa) then
2208    this can cause OpenSSL to crash (dependant on ciphersuite). Both clients
2209    and servers are affected.
2210
2211    This issue was reported to OpenSSL by Joe Orton (Red Hat).
2212    [CVE-2017-3733][]
2213
2214    *Matt Caswell*
2215
2216 ### Changes between 1.1.0c and 1.1.0d [26 Jan 2017]
2217
2218  * Truncated packet could crash via OOB read
2219
2220    If one side of an SSL/TLS path is running on a 32-bit host and a specific
2221    cipher is being used, then a truncated packet can cause that host to
2222    perform an out-of-bounds read, usually resulting in a crash.
2223
2224    This issue was reported to OpenSSL by Robert Święcki of Google.
2225    [CVE-2017-3731][]
2226
2227    *Andy Polyakov*
2228
2229  * Bad (EC)DHE parameters cause a client crash
2230
2231    If a malicious server supplies bad parameters for a DHE or ECDHE key
2232    exchange then this can result in the client attempting to dereference a
2233    NULL pointer leading to a client crash. This could be exploited in a Denial
2234    of Service attack.
2235
2236    This issue was reported to OpenSSL by Guido Vranken.
2237    [CVE-2017-3730][]
2238
2239    *Matt Caswell*
2240
2241  * BN_mod_exp may produce incorrect results on x86_64
2242
2243    There is a carry propagating bug in the x86_64 Montgomery squaring
2244    procedure. No EC algorithms are affected. Analysis suggests that attacks
2245    against RSA and DSA as a result of this defect would be very difficult to
2246    perform and are not believed likely. Attacks against DH are considered just
2247    feasible (although very difficult) because most of the work necessary to
2248    deduce information about a private key may be performed offline. The amount
2249    of resources required for such an attack would be very significant and
2250    likely only accessible to a limited number of attackers. An attacker would
2251    additionally need online access to an unpatched system using the target
2252    private key in a scenario with persistent DH parameters and a private
2253    key that is shared between multiple clients. For example this can occur by
2254    default in OpenSSL DHE based SSL/TLS ciphersuites. Note: This issue is very
2255    similar to CVE-2015-3193 but must be treated as a separate problem.
2256
2257    This issue was reported to OpenSSL by the OSS-Fuzz project.
2258    [CVE-2017-3732][]
2259
2260    *Andy Polyakov*
2261
2262 ### Changes between 1.1.0b and 1.1.0c [10 Nov 2016]
2263
2264  * ChaCha20/Poly1305 heap-buffer-overflow
2265
2266    TLS connections using `*-CHACHA20-POLY1305` ciphersuites are susceptible to
2267    a DoS attack by corrupting larger payloads. This can result in an OpenSSL
2268    crash. This issue is not considered to be exploitable beyond a DoS.
2269
2270    This issue was reported to OpenSSL by Robert Święcki (Google Security Team)
2271    [CVE-2016-7054][]
2272
2273    *Richard Levitte*
2274
2275  * CMS Null dereference
2276
2277    Applications parsing invalid CMS structures can crash with a NULL pointer
2278    dereference. This is caused by a bug in the handling of the ASN.1 CHOICE
2279    type in OpenSSL 1.1.0 which can result in a NULL value being passed to the
2280    structure callback if an attempt is made to free certain invalid encodings.
2281    Only CHOICE structures using a callback which do not handle NULL value are
2282    affected.
2283
2284    This issue was reported to OpenSSL by Tyler Nighswander of ForAllSecure.
2285    [CVE-2016-7053][]
2286
2287    *Stephen Henson*
2288
2289  * Montgomery multiplication may produce incorrect results
2290
2291    There is a carry propagating bug in the Broadwell-specific Montgomery
2292    multiplication procedure that handles input lengths divisible by, but
2293    longer than 256 bits. Analysis suggests that attacks against RSA, DSA
2294    and DH private keys are impossible. This is because the subroutine in
2295    question is not used in operations with the private key itself and an input
2296    of the attacker's direct choice. Otherwise the bug can manifest itself as
2297    transient authentication and key negotiation failures or reproducible
2298    erroneous outcome of public-key operations with specially crafted input.
2299    Among EC algorithms only Brainpool P-512 curves are affected and one
2300    presumably can attack ECDH key negotiation. Impact was not analyzed in
2301    detail, because pre-requisites for attack are considered unlikely. Namely
2302    multiple clients have to choose the curve in question and the server has to
2303    share the private key among them, neither of which is default behaviour.
2304    Even then only clients that chose the curve will be affected.
2305
2306    This issue was publicly reported as transient failures and was not
2307    initially recognized as a security issue. Thanks to Richard Morgan for
2308    providing reproducible case.
2309    [CVE-2016-7055][]
2310
2311    *Andy Polyakov*
2312
2313  * Removed automatic addition of RPATH in shared libraries and executables,
2314    as this was a remainder from OpenSSL 1.0.x and isn't needed any more.
2315
2316    *Richard Levitte*
2317
2318 ### Changes between 1.1.0a and 1.1.0b [26 Sep 2016]
2319
2320  * Fix Use After Free for large message sizes
2321
2322    The patch applied to address CVE-2016-6307 resulted in an issue where if a
2323    message larger than approx 16k is received then the underlying buffer to
2324    store the incoming message is reallocated and moved. Unfortunately a
2325    dangling pointer to the old location is left which results in an attempt to
2326    write to the previously freed location. This is likely to result in a
2327    crash, however it could potentially lead to execution of arbitrary code.
2328
2329    This issue only affects OpenSSL 1.1.0a.
2330
2331    This issue was reported to OpenSSL by Robert Święcki.
2332    [CVE-2016-6309][]
2333
2334    *Matt Caswell*
2335
2336 ### Changes between 1.1.0 and 1.1.0a [22 Sep 2016]
2337
2338  * OCSP Status Request extension unbounded memory growth
2339
2340    A malicious client can send an excessively large OCSP Status Request
2341    extension. If that client continually requests renegotiation, sending a
2342    large OCSP Status Request extension each time, then there will be unbounded
2343    memory growth on the server. This will eventually lead to a Denial Of
2344    Service attack through memory exhaustion. Servers with a default
2345    configuration are vulnerable even if they do not support OCSP. Builds using
2346    the "no-ocsp" build time option are not affected.
2347
2348    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
2349    [CVE-2016-6304][]
2350
2351    *Matt Caswell*
2352
2353  * SSL_peek() hang on empty record
2354
2355    OpenSSL 1.1.0 SSL/TLS will hang during a call to SSL_peek() if the peer
2356    sends an empty record. This could be exploited by a malicious peer in a
2357    Denial Of Service attack.
2358
2359    This issue was reported to OpenSSL by Alex Gaynor.
2360    [CVE-2016-6305][]
2361
2362    *Matt Caswell*
2363
2364  * Excessive allocation of memory in tls_get_message_header() and
2365    dtls1_preprocess_fragment()
2366
2367    A (D)TLS message includes 3 bytes for its length in the header for the
2368    message. This would allow for messages up to 16Mb in length. Messages of
2369    this length are excessive and OpenSSL includes a check to ensure that a
2370    peer is sending reasonably sized messages in order to avoid too much memory
2371    being consumed to service a connection. A flaw in the logic of version
2372    1.1.0 means that memory for the message is allocated too early, prior to
2373    the excessive message length check. Due to way memory is allocated in
2374    OpenSSL this could mean an attacker could force up to 21Mb to be allocated
2375    to service a connection. This could lead to a Denial of Service through
2376    memory exhaustion. However, the excessive message length check still takes
2377    place, and this would cause the connection to immediately fail. Assuming
2378    that the application calls SSL_free() on the failed connection in a timely
2379    manner then the 21Mb of allocated memory will then be immediately freed
2380    again. Therefore the excessive memory allocation will be transitory in
2381    nature. This then means that there is only a security impact if:
2382
2383    1) The application does not call SSL_free() in a timely manner in the event
2384    that the connection fails
2385    or
2386    2) The application is working in a constrained environment where there is
2387    very little free memory
2388    or
2389    3) The attacker initiates multiple connection attempts such that there are
2390    multiple connections in a state where memory has been allocated for the
2391    connection; SSL_free() has not yet been called; and there is insufficient
2392    memory to service the multiple requests.
2393
2394    Except in the instance of (1) above any Denial Of Service is likely to be
2395    transitory because as soon as the connection fails the memory is
2396    subsequently freed again in the SSL_free() call. However there is an
2397    increased risk during this period of application crashes due to the lack of
2398    memory - which would then mean a more serious Denial of Service.
2399
2400    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
2401    (CVE-2016-6307 and CVE-2016-6308)
2402
2403    *Matt Caswell*
2404
2405  * solaris-x86-cc, i.e. 32-bit configuration with vendor compiler,
2406    had to be removed. Primary reason is that vendor assembler can't
2407    assemble our modules with -KPIC flag. As result it, assembly
2408    support, was not even available as option. But its lack means
2409    lack of side-channel resistant code, which is incompatible with
2410    security by todays standards. Fortunately gcc is readily available
2411    prepackaged option, which we firmly point at...
2412
2413    *Andy Polyakov*
2414
2415 ### Changes between 1.0.2h and 1.1.0  [25 Aug 2016]
2416
2417  * Windows command-line tool supports UTF-8 opt-in option for arguments
2418    and console input. Setting OPENSSL_WIN32_UTF8 environment variable
2419    (to any value) allows Windows user to access PKCS#12 file generated
2420    with Windows CryptoAPI and protected with non-ASCII password, as well
2421    as files generated under UTF-8 locale on Linux also protected with
2422    non-ASCII password.
2423
2424    *Andy Polyakov*
2425
2426  * To mitigate the SWEET32 attack [CVE-2016-2183][], 3DES cipher suites
2427    have been disabled by default and removed from DEFAULT, just like RC4.
2428    See the RC4 item below to re-enable both.
2429
2430    *Rich Salz*
2431
2432  * The method for finding the storage location for the Windows RAND seed file
2433    has changed. First we check %RANDFILE%. If that is not set then we check
2434    the directories %HOME%, %USERPROFILE% and %SYSTEMROOT% in that order. If
2435    all else fails we fall back to C:\.
2436
2437    *Matt Caswell*
2438
2439  * The EVP_EncryptUpdate() function has had its return type changed from void
2440    to int. A return of 0 indicates and error while a return of 1 indicates
2441    success.
2442
2443    *Matt Caswell*
2444
2445  * The flags RSA_FLAG_NO_CONSTTIME, DSA_FLAG_NO_EXP_CONSTTIME and
2446    DH_FLAG_NO_EXP_CONSTTIME which previously provided the ability to switch
2447    off the constant time implementation for RSA, DSA and DH have been made
2448    no-ops and deprecated.
2449
2450    *Matt Caswell*
2451
2452  * Windows RAND implementation was simplified to only get entropy by
2453    calling CryptGenRandom(). Various other RAND-related tickets
2454    were also closed.
2455
2456    *Joseph Wylie Yandle, Rich Salz*
2457
2458  * The stack and lhash API's were renamed to start with `OPENSSL_SK_`
2459    and `OPENSSL_LH_`, respectively.  The old names are available
2460    with API compatibility.  They new names are now completely documented.
2461
2462    *Rich Salz*
2463
2464  * Unify TYPE_up_ref(obj) methods signature.
2465    SSL_CTX_up_ref(), SSL_up_ref(), X509_up_ref(), EVP_PKEY_up_ref(),
2466    X509_CRL_up_ref(), X509_OBJECT_up_ref_count() methods are now returning an
2467    int (instead of void) like all others TYPE_up_ref() methods.
2468    So now these methods also check the return value of CRYPTO_atomic_add(),
2469    and the validity of object reference counter.
2470
2471    *fdasilvayy@gmail.com*
2472
2473  * With Windows Visual Studio builds, the .pdb files are installed
2474    alongside the installed libraries and executables.  For a static
2475    library installation, ossl_static.pdb is the associate compiler
2476    generated .pdb file to be used when linking programs.
2477
2478    *Richard Levitte*
2479
2480  * Remove openssl.spec.  Packaging files belong with the packagers.
2481
2482    *Richard Levitte*
2483
2484  * Automatic Darwin/OSX configuration has had a refresh, it will now
2485    recognise x86_64 architectures automatically.  You can still decide
2486    to build for a different bitness with the environment variable
2487    KERNEL_BITS (can be 32 or 64), for example:
2488
2489            KERNEL_BITS=32 ./config
2490
2491    *Richard Levitte*
2492
2493  * Change default algorithms in pkcs8 utility to use PKCS#5 v2.0,
2494    256 bit AES and HMAC with SHA256.
2495
2496    *Steve Henson*
2497
2498  * Remove support for MIPS o32 ABI on IRIX (and IRIX only).
2499
2500    *Andy Polyakov*
2501
2502  * Triple-DES ciphers have been moved from HIGH to MEDIUM.
2503
2504    *Rich Salz*
2505
2506  * To enable users to have their own config files and build file templates,
2507    Configure looks in the directory indicated by the environment variable
2508    OPENSSL_LOCAL_CONFIG_DIR as well as the in-source Configurations/
2509    directory.  On VMS, OPENSSL_LOCAL_CONFIG_DIR is expected to be a logical
2510    name and is used as is.
2511
2512    *Richard Levitte*
2513
2514  * The following datatypes were made opaque: X509_OBJECT, X509_STORE_CTX,
2515    X509_STORE, X509_LOOKUP, and X509_LOOKUP_METHOD.  The unused type
2516    X509_CERT_FILE_CTX was removed.
2517
2518    *Rich Salz*
2519
2520  * "shared" builds are now the default. To create only static libraries use
2521    the "no-shared" Configure option.
2522
2523    *Matt Caswell*
2524
2525  * Remove the no-aes, no-hmac, no-rsa, no-sha and no-md5 Configure options.
2526    All of these option have not worked for some while and are fundamental
2527    algorithms.
2528
2529    *Matt Caswell*
2530
2531  * Make various cleanup routines no-ops and mark them as deprecated. Most
2532    global cleanup functions are no longer required because they are handled
2533    via auto-deinit (see OPENSSL_init_crypto and OPENSSL_init_ssl man pages).
2534    Explicitly de-initing can cause problems (e.g. where a library that uses
2535    OpenSSL de-inits, but an application is still using it). The affected
2536    functions are CONF_modules_free(), ENGINE_cleanup(), OBJ_cleanup(),
2537    EVP_cleanup(), BIO_sock_cleanup(), CRYPTO_cleanup_all_ex_data(),
2538    RAND_cleanup(), SSL_COMP_free_compression_methods(), ERR_free_strings() and
2539    COMP_zlib_cleanup().
2540
2541    *Matt Caswell*
2542
2543  * --strict-warnings no longer enables runtime debugging options
2544    such as REF_DEBUG. Instead, debug options are automatically
2545    enabled with '--debug' builds.
2546
2547    *Andy Polyakov, Emilia Käsper*
2548
2549  * Made DH and DH_METHOD opaque. The structures for managing DH objects
2550    have been moved out of the public header files. New functions for managing
2551    these have been added.
2552
2553    *Matt Caswell*
2554
2555  * Made RSA and RSA_METHOD opaque. The structures for managing RSA
2556    objects have been moved out of the public header files. New
2557    functions for managing these have been added.
2558
2559    *Richard Levitte*
2560
2561  * Made DSA and DSA_METHOD opaque. The structures for managing DSA objects
2562    have been moved out of the public header files. New functions for managing
2563    these have been added.
2564
2565    *Matt Caswell*
2566
2567  * Made BIO and BIO_METHOD opaque. The structures for managing BIOs have been
2568    moved out of the public header files. New functions for managing these
2569    have been added.
2570
2571    *Matt Caswell*
2572
2573  * Removed no-rijndael as a config option. Rijndael is an old name for AES.
2574
2575    *Matt Caswell*
2576
2577  * Removed the mk1mf build scripts.
2578
2579    *Richard Levitte*
2580
2581  * Headers are now wrapped, if necessary, with OPENSSL_NO_xxx, so
2582    it is always safe to #include a header now.
2583
2584    *Rich Salz*
2585
2586  * Removed the aged BC-32 config and all its supporting scripts
2587
2588    *Richard Levitte*
2589
2590  * Removed support for Ultrix, Netware, and OS/2.
2591
2592    *Rich Salz*
2593
2594  * Add support for HKDF.
2595
2596    *Alessandro Ghedini*
2597
2598  * Add support for blake2b and blake2s
2599
2600    *Bill Cox*
2601
2602  * Added support for "pipelining". Ciphers that have the
2603    EVP_CIPH_FLAG_PIPELINE flag set have a capability to process multiple
2604    encryptions/decryptions simultaneously. There are currently no built-in
2605    ciphers with this property but the expectation is that engines will be able
2606    to offer it to significantly improve throughput. Support has been extended
2607    into libssl so that multiple records for a single connection can be
2608    processed in one go (for >=TLS 1.1).
2609
2610    *Matt Caswell*
2611
2612  * Added the AFALG engine. This is an async capable engine which is able to
2613    offload work to the Linux kernel. In this initial version it only supports
2614    AES128-CBC. The kernel must be version 4.1.0 or greater.
2615
2616    *Catriona Lucey*
2617
2618  * OpenSSL now uses a new threading API. It is no longer necessary to
2619    set locking callbacks to use OpenSSL in a multi-threaded environment. There
2620    are two supported threading models: pthreads and windows threads. It is
2621    also possible to configure OpenSSL at compile time for "no-threads". The
2622    old threading API should no longer be used. The functions have been
2623    replaced with "no-op" compatibility macros.
2624
2625    *Alessandro Ghedini, Matt Caswell*
2626
2627  * Modify behavior of ALPN to invoke callback after SNI/servername
2628    callback, such that updates to the SSL_CTX affect ALPN.
2629
2630    *Todd Short*
2631
2632  * Add SSL_CIPHER queries for authentication and key-exchange.
2633
2634    *Todd Short*
2635
2636  * Changes to the DEFAULT cipherlist:
2637    - Prefer (EC)DHE handshakes over plain RSA.
2638    - Prefer AEAD ciphers over legacy ciphers.
2639    - Prefer ECDSA over RSA when both certificates are available.
2640    - Prefer TLSv1.2 ciphers/PRF.
2641    - Remove DSS, SEED, IDEA, CAMELLIA, and AES-CCM from the
2642      default cipherlist.
2643
2644    *Emilia Käsper*
2645
2646  * Change the ECC default curve list to be this, in order: x25519,
2647    secp256r1, secp521r1, secp384r1.
2648
2649    *Rich Salz*
2650
2651  * RC4 based libssl ciphersuites are now classed as "weak" ciphers and are
2652    disabled by default. They can be re-enabled using the
2653    enable-weak-ssl-ciphers option to Configure.
2654
2655    *Matt Caswell*
2656
2657  * If the server has ALPN configured, but supports no protocols that the
2658    client advertises, send a fatal "no_application_protocol" alert.
2659    This behaviour is SHALL in RFC 7301, though it isn't universally
2660    implemented by other servers.
2661
2662    *Emilia Käsper*
2663
2664  * Add X25519 support.
2665    Add ASN.1 and EVP_PKEY methods for X25519. This includes support
2666    for public and private key encoding using the format documented in
2667    draft-ietf-curdle-pkix-02. The corresponding EVP_PKEY method supports
2668    key generation and key derivation.
2669
2670    TLS support complies with draft-ietf-tls-rfc4492bis-08 and uses
2671    X25519(29).
2672
2673    *Steve Henson*
2674
2675  * Deprecate SRP_VBASE_get_by_user.
2676    SRP_VBASE_get_by_user had inconsistent memory management behaviour.
2677    In order to fix an unavoidable memory leak [CVE-2016-0798][],
2678    SRP_VBASE_get_by_user was changed to ignore the "fake user" SRP
2679    seed, even if the seed is configured.
2680
2681    Users should use SRP_VBASE_get1_by_user instead. Note that in
2682    SRP_VBASE_get1_by_user, caller must free the returned value. Note
2683    also that even though configuring the SRP seed attempts to hide
2684    invalid usernames by continuing the handshake with fake
2685    credentials, this behaviour is not constant time and no strong
2686    guarantees are made that the handshake is indistinguishable from
2687    that of a valid user.
2688
2689    *Emilia Käsper*
2690
2691  * Configuration change; it's now possible to build dynamic engines
2692    without having to build shared libraries and vice versa.  This
2693    only applies to the engines in engines/, those in crypto/engine/
2694    will always be built into libcrypto (i.e. "static").
2695
2696    Building dynamic engines is enabled by default; to disable, use
2697    the configuration option "disable-dynamic-engine".
2698
2699    The only requirements for building dynamic engines are the
2700    presence of the DSO module and building with position independent
2701    code, so they will also automatically be disabled if configuring
2702    with "disable-dso" or "disable-pic".
2703
2704    The macros OPENSSL_NO_STATIC_ENGINE and OPENSSL_NO_DYNAMIC_ENGINE
2705    are also taken away from openssl/opensslconf.h, as they are
2706    irrelevant.
2707
2708    *Richard Levitte*
2709
2710  * Configuration change; if there is a known flag to compile
2711    position independent code, it will always be applied on the
2712    libcrypto and libssl object files, and never on the application
2713    object files.  This means other libraries that use routines from
2714    libcrypto / libssl can be made into shared libraries regardless
2715    of how OpenSSL was configured.
2716
2717    If this isn't desirable, the configuration options "disable-pic"
2718    or "no-pic" can be used to disable the use of PIC.  This will
2719    also disable building shared libraries and dynamic engines.
2720
2721    *Richard Levitte*
2722
2723  * Removed JPAKE code.  It was experimental and has no wide use.
2724
2725    *Rich Salz*
2726
2727  * The INSTALL_PREFIX Makefile variable has been renamed to
2728    DESTDIR.  That makes for less confusion on what this variable
2729    is for.  Also, the configuration option --install_prefix is
2730    removed.
2731
2732    *Richard Levitte*
2733
2734  * Heartbeat for TLS has been removed and is disabled by default
2735    for DTLS; configure with enable-heartbeats.  Code that uses the
2736    old #define's might need to be updated.
2737
2738    *Emilia Käsper, Rich Salz*
2739
2740  * Rename REF_CHECK to REF_DEBUG.
2741
2742    *Rich Salz*
2743
2744  * New "unified" build system
2745
2746    The "unified" build system is aimed to be a common system for all
2747    platforms we support.  With it comes new support for VMS.
2748
2749    This system builds supports building in a different directory tree
2750    than the source tree.  It produces one Makefile (for unix family
2751    or lookalikes), or one descrip.mms (for VMS).
2752
2753    The source of information to make the Makefile / descrip.mms is
2754    small files called 'build.info', holding the necessary
2755    information for each directory with source to compile, and a
2756    template in Configurations, like unix-Makefile.tmpl or
2757    descrip.mms.tmpl.
2758
2759    With this change, the library names were also renamed on Windows
2760    and on VMS.  They now have names that are closer to the standard
2761    on Unix, and include the major version number, and in certain
2762    cases, the architecture they are built for.  See "Notes on shared
2763    libraries" in INSTALL.
2764
2765    We rely heavily on the perl module Text::Template.
2766
2767    *Richard Levitte*
2768
2769  * Added support for auto-initialisation and de-initialisation of the library.
2770    OpenSSL no longer requires explicit init or deinit routines to be called,
2771    except in certain circumstances. See the OPENSSL_init_crypto() and
2772    OPENSSL_init_ssl() man pages for further information.
2773
2774    *Matt Caswell*
2775
2776  * The arguments to the DTLSv1_listen function have changed. Specifically the
2777    "peer" argument is now expected to be a BIO_ADDR object.
2778
2779  * Rewrite of BIO networking library. The BIO library lacked consistent
2780    support of IPv6, and adding it required some more extensive
2781    modifications.  This introduces the BIO_ADDR and BIO_ADDRINFO types,
2782    which hold all types of addresses and chains of address information.
2783    It also introduces a new API, with functions like BIO_socket,
2784    BIO_connect, BIO_listen, BIO_lookup and a rewrite of BIO_accept.
2785    The source/sink BIOs BIO_s_connect, BIO_s_accept and BIO_s_datagram
2786    have been adapted accordingly.
2787
2788    *Richard Levitte*
2789
2790  * RSA_padding_check_PKCS1_type_1 now accepts inputs with and without
2791    the leading 0-byte.
2792
2793    *Emilia Käsper*
2794
2795  * CRIME protection: disable compression by default, even if OpenSSL is
2796    compiled with zlib enabled. Applications can still enable compression
2797    by calling SSL_CTX_clear_options(ctx, SSL_OP_NO_COMPRESSION), or by
2798    using the SSL_CONF library to configure compression.
2799
2800    *Emilia Käsper*
2801
2802  * The signature of the session callback configured with
2803    SSL_CTX_sess_set_get_cb was changed. The read-only input buffer
2804    was explicitly marked as `const unsigned char*` instead of
2805    `unsigned char*`.
2806
2807    *Emilia Käsper*
2808
2809  * Always DPURIFY. Remove the use of uninitialized memory in the
2810    RNG, and other conditional uses of DPURIFY. This makes -DPURIFY a no-op.
2811
2812    *Emilia Käsper*
2813
2814  * Removed many obsolete configuration items, including
2815       DES_PTR, DES_RISC1, DES_RISC2, DES_INT
2816       MD2_CHAR, MD2_INT, MD2_LONG
2817       BF_PTR, BF_PTR2
2818       IDEA_SHORT, IDEA_LONG
2819       RC2_SHORT, RC2_LONG, RC4_LONG, RC4_CHUNK, RC4_INDEX
2820
2821    *Rich Salz, with advice from Andy Polyakov*
2822
2823  * Many BN internals have been moved to an internal header file.
2824
2825    *Rich Salz with help from Andy Polyakov*
2826
2827  * Configuration and writing out the results from it has changed.
2828    Files such as Makefile include/openssl/opensslconf.h and are now
2829    produced through general templates, such as Makefile.in and
2830    crypto/opensslconf.h.in and some help from the perl module
2831    Text::Template.
2832
2833    Also, the center of configuration information is no longer
2834    Makefile.  Instead, Configure produces a perl module in
2835    configdata.pm which holds most of the config data (in the hash
2836    table %config), the target data that comes from the target
2837    configuration in one of the `Configurations/*.conf~ files (in
2838    %target).
2839
2840    *Richard Levitte*
2841
2842  * To clarify their intended purposes, the Configure options
2843    --prefix and --openssldir change their semantics, and become more
2844    straightforward and less interdependent.
2845
2846    --prefix shall be used exclusively to give the location INSTALLTOP
2847    where programs, scripts, libraries, include files and manuals are
2848    going to be installed.  The default is now /usr/local.
2849
2850    --openssldir shall be used exclusively to give the default
2851    location OPENSSLDIR where certificates, private keys, CRLs are
2852    managed.  This is also where the default openssl.cnf gets
2853    installed.
2854    If the directory given with this option is a relative path, the
2855    values of both the --prefix value and the --openssldir value will
2856    be combined to become OPENSSLDIR.
2857    The default for --openssldir is INSTALLTOP/ssl.
2858
2859    Anyone who uses --openssldir to specify where OpenSSL is to be
2860    installed MUST change to use --prefix instead.
2861
2862    *Richard Levitte*
2863
2864  * The GOST engine was out of date and therefore it has been removed. An up
2865    to date GOST engine is now being maintained in an external repository.
2866    See: <https://wiki.openssl.org/index.php/Binaries>. Libssl still retains
2867    support for GOST ciphersuites (these are only activated if a GOST engine
2868    is present).
2869
2870    *Matt Caswell*
2871
2872  * EGD is no longer supported by default; use enable-egd when
2873    configuring.
2874
2875    *Ben Kaduk and Rich Salz*
2876
2877  * The distribution now has Makefile.in files, which are used to
2878    create Makefile's when Configure is run.  *Configure must be run
2879    before trying to build now.*
2880
2881    *Rich Salz*
2882
2883  * The return value for SSL_CIPHER_description() for error conditions
2884    has changed.
2885
2886    *Rich Salz*
2887
2888  * Support for RFC6698/RFC7671 DANE TLSA peer authentication.
2889
2890    Obtaining and performing DNSSEC validation of TLSA records is
2891    the application's responsibility.  The application provides
2892    the TLSA records of its choice to OpenSSL, and these are then
2893    used to authenticate the peer.
2894
2895    The TLSA records need not even come from DNS.  They can, for
2896    example, be used to implement local end-entity certificate or
2897    trust-anchor "pinning", where the "pin" data takes the form
2898    of TLSA records, which can augment or replace verification
2899    based on the usual WebPKI public certification authorities.
2900
2901    *Viktor Dukhovni*
2902
2903  * Revert default OPENSSL_NO_DEPRECATED setting.  Instead OpenSSL
2904    continues to support deprecated interfaces in default builds.
2905    However, applications are strongly advised to compile their
2906    source files with -DOPENSSL_API_COMPAT=0x10100000L, which hides
2907    the declarations of all interfaces deprecated in 0.9.8, 1.0.0
2908    or the 1.1.0 releases.
2909
2910    In environments in which all applications have been ported to
2911    not use any deprecated interfaces OpenSSL's Configure script
2912    should be used with the --api=1.1.0 option to entirely remove
2913    support for the deprecated features from the library and
2914    unconditionally disable them in the installed headers.
2915    Essentially the same effect can be achieved with the "no-deprecated"
2916    argument to Configure, except that this will always restrict
2917    the build to just the latest API, rather than a fixed API
2918    version.
2919
2920    As applications are ported to future revisions of the API,
2921    they should update their compile-time OPENSSL_API_COMPAT define
2922    accordingly, but in most cases should be able to continue to
2923    compile with later releases.
2924
2925    The OPENSSL_API_COMPAT versions for 1.0.0, and 0.9.8 are
2926    0x10000000L and 0x00908000L, respectively.  However those
2927    versions did not support the OPENSSL_API_COMPAT feature, and
2928    so applications are not typically tested for explicit support
2929    of just the undeprecated features of either release.
2930
2931    *Viktor Dukhovni*
2932
2933  * Add support for setting the minimum and maximum supported protocol.
2934    It can bet set via the SSL_set_min_proto_version() and
2935    SSL_set_max_proto_version(), or via the SSL_CONF's MinProtocol and
2936    MaxProtocol.  It's recommended to use the new APIs to disable
2937    protocols instead of disabling individual protocols using
2938    SSL_set_options() or SSL_CONF's Protocol.  This change also
2939    removes support for disabling TLS 1.2 in the OpenSSL TLS
2940    client at compile time by defining OPENSSL_NO_TLS1_2_CLIENT.
2941
2942    *Kurt Roeckx*
2943
2944  * Support for ChaCha20 and Poly1305 added to libcrypto and libssl.
2945
2946    *Andy Polyakov*
2947
2948  * New EC_KEY_METHOD, this replaces the older ECDSA_METHOD and ECDH_METHOD
2949    and integrates ECDSA and ECDH functionality into EC. Implementations can
2950    now redirect key generation and no longer need to convert to or from
2951    ECDSA_SIG format.
2952
2953    Note: the ecdsa.h and ecdh.h headers are now no longer needed and just
2954    include the ec.h header file instead.
2955
2956    *Steve Henson*
2957
2958  * Remove support for all 40 and 56 bit ciphers.  This includes all the export
2959    ciphers who are no longer supported and drops support the ephemeral RSA key
2960    exchange. The LOW ciphers currently doesn't have any ciphers in it.
2961
2962    *Kurt Roeckx*
2963
2964  * Made EVP_MD_CTX, EVP_MD, EVP_CIPHER_CTX, EVP_CIPHER and HMAC_CTX
2965    opaque.  For HMAC_CTX, the following constructors and destructors
2966    were added:
2967
2968       HMAC_CTX *HMAC_CTX_new(void);
2969       void HMAC_CTX_free(HMAC_CTX *ctx);
2970
2971    For EVP_MD and EVP_CIPHER, complete APIs to create, fill and
2972    destroy such methods has been added.  See EVP_MD_meth_new(3) and
2973    EVP_CIPHER_meth_new(3) for documentation.
2974
2975    Additional changes:
2976    1) EVP_MD_CTX_cleanup(), EVP_CIPHER_CTX_cleanup() and
2977       HMAC_CTX_cleanup() were removed.  HMAC_CTX_reset() and
2978       EVP_MD_CTX_reset() should be called instead to reinitialise
2979       an already created structure.
2980    2) For consistency with the majority of our object creators and
2981       destructors, EVP_MD_CTX_(create|destroy) were renamed to
2982       EVP_MD_CTX_(new|free).  The old names are retained as macros
2983       for deprecated builds.
2984
2985    *Richard Levitte*
2986
2987  * Added ASYNC support. Libcrypto now includes the async sub-library to enable
2988    cryptographic operations to be performed asynchronously as long as an
2989    asynchronous capable engine is used. See the ASYNC_start_job() man page for
2990    further details. Libssl has also had this capability integrated with the
2991    introduction of the new mode SSL_MODE_ASYNC and associated error
2992    SSL_ERROR_WANT_ASYNC. See the SSL_CTX_set_mode() and SSL_get_error() man
2993    pages. This work was developed in partnership with Intel Corp.
2994
2995    *Matt Caswell*
2996
2997  * SSL_{CTX_}set_ecdh_auto() has been removed and ECDH is support is
2998    always enabled now.  If you want to disable the support you should
2999    exclude it using the list of supported ciphers. This also means that the
3000    "-no_ecdhe" option has been removed from s_server.
3001
3002    *Kurt Roeckx*
3003
3004  * SSL_{CTX}_set_tmp_ecdh() which can set 1 EC curve now internally calls
3005    SSL_{CTX_}set1_curves() which can set a list.
3006
3007    *Kurt Roeckx*
3008
3009  * Remove support for SSL_{CTX_}set_tmp_ecdh_callback().  You should set the
3010    curve you want to support using SSL_{CTX_}set1_curves().
3011
3012    *Kurt Roeckx*
3013
3014  * State machine rewrite. The state machine code has been significantly
3015    refactored in order to remove much duplication of code and solve issues
3016    with the old code (see ssl/statem/README for further details). This change
3017    does have some associated API changes. Notably the SSL_state() function
3018    has been removed and replaced by SSL_get_state which now returns an
3019    "OSSL_HANDSHAKE_STATE" instead of an int. SSL_set_state() has been removed
3020    altogether. The previous handshake states defined in ssl.h and ssl3.h have
3021    also been removed.
3022
3023    *Matt Caswell*
3024
3025  * All instances of the string "ssleay" in the public API were replaced
3026    with OpenSSL (case-matching; e.g., OPENSSL_VERSION for #define's)
3027    Some error codes related to internal RSA_eay API's were renamed.
3028
3029    *Rich Salz*
3030
3031  * The demo files in crypto/threads were moved to demo/threads.
3032
3033    *Rich Salz*
3034
3035  * Removed obsolete engines: 4758cca, aep, atalla, cswift, nuron, gmp,
3036    sureware and ubsec.
3037
3038    *Matt Caswell, Rich Salz*
3039
3040  * New ASN.1 embed macro.
3041
3042    New ASN.1 macro ASN1_EMBED. This is the same as ASN1_SIMPLE except the
3043    structure is not allocated: it is part of the parent. That is instead of
3044
3045            FOO *x;
3046
3047    it must be:
3048
3049            FOO x;
3050
3051    This reduces memory fragmentation and make it impossible to accidentally
3052    set a mandatory field to NULL.
3053
3054    This currently only works for some fields specifically a SEQUENCE, CHOICE,
3055    or ASN1_STRING type which is part of a parent SEQUENCE. Since it is
3056    equivalent to ASN1_SIMPLE it cannot be tagged, OPTIONAL, SET OF or
3057    SEQUENCE OF.
3058
3059    *Steve Henson*
3060
3061  * Remove EVP_CHECK_DES_KEY, a compile-time option that never compiled.
3062
3063    *Emilia Käsper*
3064
3065  * Removed DES and RC4 ciphersuites from DEFAULT. Also removed RC2 although
3066    in 1.0.2 EXPORT was already removed and the only RC2 ciphersuite is also
3067    an EXPORT one. COMPLEMENTOFDEFAULT has been updated accordingly to add
3068    DES and RC4 ciphersuites.
3069
3070    *Matt Caswell*
3071
3072  * Rewrite EVP_DecodeUpdate (base64 decoding) to fix several bugs.
3073    This changes the decoding behaviour for some invalid messages,
3074    though the change is mostly in the more lenient direction, and
3075    legacy behaviour is preserved as much as possible.
3076
3077    *Emilia Käsper*
3078
3079  * Fix no-stdio build.
3080    * David Woodhouse <David.Woodhouse@intel.com> and also
3081     Ivan Nestlerode <ivan.nestlerode@sonos.com> *
3082
3083  * New testing framework
3084    The testing framework has been largely rewritten and is now using
3085    perl and the perl modules Test::Harness and an extended variant of
3086    Test::More called OpenSSL::Test to do its work.  All test scripts in
3087    test/ have been rewritten into test recipes, and all direct calls to
3088    executables in test/Makefile have become individual recipes using the
3089    simplified testing OpenSSL::Test::Simple.
3090
3091    For documentation on our testing modules, do:
3092
3093            perldoc test/testlib/OpenSSL/Test/Simple.pm
3094            perldoc test/testlib/OpenSSL/Test.pm
3095
3096    *Richard Levitte*
3097
3098  * Revamped memory debug; only -DCRYPTO_MDEBUG and -DCRYPTO_MDEBUG_ABORT
3099    are used; the latter aborts on memory leaks (usually checked on exit).
3100    Some undocumented "set malloc, etc., hooks" functions were removed
3101    and others were changed.  All are now documented.
3102
3103    *Rich Salz*
3104
3105  * In DSA_generate_parameters_ex, if the provided seed is too short,
3106    return an error
3107
3108    *Rich Salz and Ismo Puustinen <ismo.puustinen@intel.com>*
3109
3110  * Rewrite PSK to support ECDHE_PSK, DHE_PSK and RSA_PSK. Add ciphersuites
3111    from RFC4279, RFC4785, RFC5487, RFC5489.
3112
3113    Thanks to Christian J. Dietrich and Giuseppe D'Angelo for the
3114    original RSA_PSK patch.
3115
3116    *Steve Henson*
3117
3118  * Dropped support for the SSL3_FLAGS_DELAY_CLIENT_FINISHED flag. This SSLeay
3119    era flag was never set throughout the codebase (only read). Also removed
3120    SSL3_FLAGS_POP_BUFFER which was only used if
3121    SSL3_FLAGS_DELAY_CLIENT_FINISHED was also set.
3122
3123    *Matt Caswell*
3124
3125  * Changed the default name options in the "ca", "crl", "req" and "x509"
3126    to be "oneline" instead of "compat".
3127
3128    *Richard Levitte*
3129
3130  * Remove SSL_OP_TLS_BLOCK_PADDING_BUG. This is SSLeay legacy, we're
3131    not aware of clients that still exhibit this bug, and the workaround
3132    hasn't been working properly for a while.
3133
3134    *Emilia Käsper*
3135
3136  * The return type of BIO_number_read() and BIO_number_written() as well as
3137    the corresponding num_read and num_write members in the BIO structure has
3138    changed from unsigned long to uint64_t. On platforms where an unsigned
3139    long is 32 bits (e.g. Windows) these counters could overflow if >4Gb is
3140    transferred.
3141
3142    *Matt Caswell*
3143
3144  * Given the pervasive nature of TLS extensions it is inadvisable to run
3145    OpenSSL without support for them. It also means that maintaining
3146    the OPENSSL_NO_TLSEXT option within the code is very invasive (and probably
3147    not well tested). Therefore the OPENSSL_NO_TLSEXT option has been removed.
3148
3149    *Matt Caswell*
3150
3151  * Removed support for the two export grade static DH ciphersuites
3152    EXP-DH-RSA-DES-CBC-SHA and EXP-DH-DSS-DES-CBC-SHA. These two ciphersuites
3153    were newly added (along with a number of other static DH ciphersuites) to
3154    1.0.2. However the two export ones have *never* worked since they were
3155    introduced. It seems strange in any case to be adding new export
3156    ciphersuites, and given "logjam" it also does not seem correct to fix them.
3157
3158    *Matt Caswell*
3159
3160  * Version negotiation has been rewritten. In particular SSLv23_method(),
3161    SSLv23_client_method() and SSLv23_server_method() have been deprecated,
3162    and turned into macros which simply call the new preferred function names
3163    TLS_method(), TLS_client_method() and TLS_server_method(). All new code
3164    should use the new names instead. Also as part of this change the ssl23.h
3165    header file has been removed.
3166
3167    *Matt Caswell*
3168
3169  * Support for Kerberos ciphersuites in TLS (RFC2712) has been removed. This
3170    code and the associated standard is no longer considered fit-for-purpose.
3171
3172    *Matt Caswell*
3173
3174  * RT2547 was closed.  When generating a private key, try to make the
3175    output file readable only by the owner.  This behavior change might
3176    be noticeable when interacting with other software.
3177
3178  * Documented all exdata functions.  Added CRYPTO_free_ex_index.
3179    Added a test.
3180
3181    *Rich Salz*
3182
3183  * Added HTTP GET support to the ocsp command.
3184
3185    *Rich Salz*
3186
3187  * Changed default digest for the dgst and enc commands from MD5 to
3188    sha256
3189
3190    *Rich Salz*
3191
3192  * RAND_pseudo_bytes has been deprecated. Users should use RAND_bytes instead.
3193
3194    *Matt Caswell*
3195
3196  * Added support for TLS extended master secret from
3197    draft-ietf-tls-session-hash-03.txt. Thanks for Alfredo Pironti for an
3198    initial patch which was a great help during development.
3199
3200    *Steve Henson*
3201
3202  * All libssl internal structures have been removed from the public header
3203    files, and the OPENSSL_NO_SSL_INTERN option has been removed (since it is
3204    now redundant). Users should not attempt to access internal structures
3205    directly. Instead they should use the provided API functions.
3206
3207    *Matt Caswell*
3208
3209  * config has been changed so that by default OPENSSL_NO_DEPRECATED is used.
3210    Access to deprecated functions can be re-enabled by running config with
3211    "enable-deprecated". In addition applications wishing to use deprecated
3212    functions must define OPENSSL_USE_DEPRECATED. Note that this new behaviour
3213    will, by default, disable some transitive includes that previously existed
3214    in the header files (e.g. ec.h will no longer, by default, include bn.h)
3215
3216    *Matt Caswell*
3217
3218  * Added support for OCB mode. OpenSSL has been granted a patent license
3219    compatible with the OpenSSL license for use of OCB. Details are available
3220    at <https://www.openssl.org/source/OCB-patent-grant-OpenSSL.pdf>. Support
3221    for OCB can be removed by calling config with no-ocb.
3222
3223    *Matt Caswell*
3224
3225  * SSLv2 support has been removed.  It still supports receiving a SSLv2
3226    compatible client hello.
3227
3228    *Kurt Roeckx*
3229
3230  * Increased the minimal RSA keysize from 256 to 512 bits [Rich Salz],
3231    done while fixing the error code for the key-too-small case.
3232
3233    *Annie Yousar <a.yousar@informatik.hu-berlin.de>*
3234
3235  * CA.sh has been removed; use CA.pl instead.
3236
3237    *Rich Salz*
3238
3239  * Removed old DES API.
3240
3241    *Rich Salz*
3242
3243  * Remove various unsupported platforms:
3244       Sony NEWS4
3245       BEOS and BEOS_R5
3246       NeXT
3247       SUNOS
3248       MPE/iX
3249       Sinix/ReliantUNIX RM400
3250       DGUX
3251       NCR
3252       Tandem
3253       Cray
3254       16-bit platforms such as WIN16
3255
3256    *Rich Salz*
3257
3258  * Clean up OPENSSL_NO_xxx #define's
3259    - Use setbuf() and remove OPENSSL_NO_SETVBUF_IONBF
3260    - Rename OPENSSL_SYSNAME_xxx to OPENSSL_SYS_xxx
3261    - OPENSSL_NO_EC{DH,DSA} merged into OPENSSL_NO_EC
3262    - OPENSSL_NO_RIPEMD160, OPENSSL_NO_RIPEMD merged into OPENSSL_NO_RMD160
3263    - OPENSSL_NO_FP_API merged into OPENSSL_NO_STDIO
3264    - Remove OPENSSL_NO_BIO OPENSSL_NO_BUFFER OPENSSL_NO_CHAIN_VERIFY
3265      OPENSSL_NO_EVP OPENSSL_NO_FIPS_ERR OPENSSL_NO_HASH_COMP
3266      OPENSSL_NO_LHASH OPENSSL_NO_OBJECT OPENSSL_NO_SPEED OPENSSL_NO_STACK
3267      OPENSSL_NO_X509 OPENSSL_NO_X509_VERIFY
3268    - Remove MS_STATIC; it's a relic from platforms <32 bits.
3269
3270    *Rich Salz*
3271
3272  * Cleaned up dead code
3273      Remove all but one '#ifdef undef' which is to be looked at.
3274
3275    *Rich Salz*
3276
3277  * Clean up calling of xxx_free routines.
3278       Just like free(), fix most of the xxx_free routines to accept
3279       NULL.  Remove the non-null checks from callers.  Save much code.
3280
3281    *Rich Salz*
3282
3283  * Add secure heap for storage of private keys (when possible).
3284    Add BIO_s_secmem(), CBIGNUM, etc.
3285    Contributed by Akamai Technologies under our Corporate CLA.
3286
3287    *Rich Salz*
3288
3289  * Experimental support for a new, fast, unbiased prime candidate generator,
3290    bn_probable_prime_dh_coprime(). Not currently used by any prime generator.
3291
3292    *Felix Laurie von Massenbach <felix@erbridge.co.uk>*
3293
3294  * New output format NSS in the sess_id command line tool. This allows
3295    exporting the session id and the master key in NSS keylog format.
3296
3297    *Martin Kaiser <martin@kaiser.cx>*
3298
3299  * Harmonize version and its documentation. -f flag is used to display
3300    compilation flags.
3301
3302    *mancha <mancha1@zoho.com>*
3303
3304  * Fix eckey_priv_encode so it immediately returns an error upon a failure
3305    in i2d_ECPrivateKey.  Thanks to Ted Unangst for feedback on this issue.
3306
3307    *mancha <mancha1@zoho.com>*
3308
3309  * Fix some double frees. These are not thought to be exploitable.
3310
3311    *mancha <mancha1@zoho.com>*
3312
3313  * A missing bounds check in the handling of the TLS heartbeat extension
3314    can be used to reveal up to 64k of memory to a connected client or
3315    server.
3316
3317    Thanks for Neel Mehta of Google Security for discovering this bug and to
3318    Adam Langley <agl@chromium.org> and Bodo Moeller <bmoeller@acm.org> for
3319    preparing the fix [CVE-2014-0160][]
3320
3321    *Adam Langley, Bodo Moeller*
3322
3323  * Fix for the attack described in the paper "Recovering OpenSSL
3324    ECDSA Nonces Using the FLUSH+RELOAD Cache Side-channel Attack"
3325    by Yuval Yarom and Naomi Benger. Details can be obtained from:
3326    <http://eprint.iacr.org/2014/140>
3327
3328    Thanks to Yuval Yarom and Naomi Benger for discovering this
3329    flaw and to Yuval Yarom for supplying a fix [CVE-2014-0076][]
3330
3331    *Yuval Yarom and Naomi Benger*
3332
3333  * Use algorithm specific chains in SSL_CTX_use_certificate_chain_file():
3334    this fixes a limitation in previous versions of OpenSSL.
3335
3336    *Steve Henson*
3337
3338  * Experimental encrypt-then-mac support.
3339
3340    Experimental support for encrypt then mac from
3341    draft-gutmann-tls-encrypt-then-mac-02.txt
3342
3343    To enable it set the appropriate extension number (0x42 for the test
3344    server) using e.g. -DTLSEXT_TYPE_encrypt_then_mac=0x42
3345
3346    For non-compliant peers (i.e. just about everything) this should have no
3347    effect.
3348
3349    WARNING: EXPERIMENTAL, SUBJECT TO CHANGE.
3350
3351    *Steve Henson*
3352
3353  * Add EVP support for key wrapping algorithms, to avoid problems with
3354    existing code the flag EVP_CIPHER_CTX_WRAP_ALLOW has to be set in
3355    the EVP_CIPHER_CTX or an error is returned. Add AES and DES3 wrap
3356    algorithms and include tests cases.
3357
3358    *Steve Henson*
3359
3360  * Extend CMS code to support RSA-PSS signatures and RSA-OAEP for
3361    enveloped data.
3362
3363    *Steve Henson*
3364
3365  * Extended RSA OAEP support via EVP_PKEY API. Options to specify digest,
3366    MGF1 digest and OAEP label.
3367
3368    *Steve Henson*
3369
3370  * Make openssl verify return errors.
3371
3372    *Chris Palmer <palmer@google.com> and Ben Laurie*
3373
3374  * New function ASN1_TIME_diff to calculate the difference between two
3375    ASN1_TIME structures or one structure and the current time.
3376
3377    *Steve Henson*
3378
3379  * Update fips_test_suite to support multiple command line options. New
3380    test to induce all self test errors in sequence and check expected
3381    failures.
3382
3383    *Steve Henson*
3384
3385  * Add FIPS_{rsa,dsa,ecdsa}_{sign,verify} functions which digest and
3386    sign or verify all in one operation.
3387
3388    *Steve Henson*
3389
3390  * Add fips_algvs: a multicall fips utility incorporating all the algorithm
3391    test programs and fips_test_suite. Includes functionality to parse
3392    the minimal script output of fipsalgest.pl directly.
3393
3394    *Steve Henson*
3395
3396  * Add authorisation parameter to FIPS_module_mode_set().
3397
3398    *Steve Henson*
3399
3400  * Add FIPS selftest for ECDH algorithm using P-224 and B-233 curves.
3401
3402    *Steve Henson*
3403
3404  * Use separate DRBG fields for internal and external flags. New function
3405    FIPS_drbg_health_check() to perform on demand health checking. Add
3406    generation tests to fips_test_suite with reduced health check interval to
3407    demonstrate periodic health checking. Add "nodh" option to
3408    fips_test_suite to skip very slow DH test.
3409
3410    *Steve Henson*
3411
3412  * New function FIPS_get_cipherbynid() to lookup FIPS supported ciphers
3413    based on NID.
3414
3415    *Steve Henson*
3416
3417  * More extensive health check for DRBG checking many more failure modes.
3418    New function FIPS_selftest_drbg_all() to handle every possible DRBG
3419    combination: call this in fips_test_suite.
3420
3421    *Steve Henson*
3422
3423  * Add support for canonical generation of DSA parameter 'g'. See
3424    FIPS 186-3 A.2.3.
3425
3426  * Add support for HMAC DRBG from SP800-90. Update DRBG algorithm test and
3427    POST to handle HMAC cases.
3428
3429    *Steve Henson*
3430
3431  * Add functions FIPS_module_version() and FIPS_module_version_text()
3432    to return numerical and string versions of the FIPS module number.
3433
3434    *Steve Henson*
3435
3436  * Rename FIPS_mode_set and FIPS_mode to FIPS_module_mode_set and
3437    FIPS_module_mode. FIPS_mode and FIPS_mode_set will be implemented
3438    outside the validated module in the FIPS capable OpenSSL.
3439
3440    *Steve Henson*
3441
3442  * Minor change to DRBG entropy callback semantics. In some cases
3443    there is no multiple of the block length between min_len and
3444    max_len. Allow the callback to return more than max_len bytes
3445    of entropy but discard any extra: it is the callback's responsibility
3446    to ensure that the extra data discarded does not impact the
3447    requested amount of entropy.
3448
3449    *Steve Henson*
3450
3451  * Add PRNG security strength checks to RSA, DSA and ECDSA using
3452    information in FIPS186-3, SP800-57 and SP800-131A.
3453
3454    *Steve Henson*
3455
3456  * CCM support via EVP. Interface is very similar to GCM case except we
3457    must supply all data in one chunk (i.e. no update, final) and the
3458    message length must be supplied if AAD is used. Add algorithm test
3459    support.
3460
3461    *Steve Henson*
3462
3463  * Initial version of POST overhaul. Add POST callback to allow the status
3464    of POST to be monitored and/or failures induced. Modify fips_test_suite
3465    to use callback. Always run all selftests even if one fails.
3466
3467    *Steve Henson*
3468
3469  * XTS support including algorithm test driver in the fips_gcmtest program.
3470    Note: this does increase the maximum key length from 32 to 64 bytes but
3471    there should be no binary compatibility issues as existing applications
3472    will never use XTS mode.
3473
3474    *Steve Henson*
3475
3476  * Extensive reorganisation of FIPS PRNG behaviour. Remove all dependencies
3477    to OpenSSL RAND code and replace with a tiny FIPS RAND API which also
3478    performs algorithm blocking for unapproved PRNG types. Also do not
3479    set PRNG type in FIPS_mode_set(): leave this to the application.
3480    Add default OpenSSL DRBG handling: sets up FIPS PRNG and seeds with
3481    the standard OpenSSL PRNG: set additional data to a date time vector.
3482
3483    *Steve Henson*
3484
3485  * Rename old X9.31 PRNG functions of the form FIPS_rand* to FIPS_x931*.
3486    This shouldn't present any incompatibility problems because applications
3487    shouldn't be using these directly and any that are will need to rethink
3488    anyway as the X9.31 PRNG is now deprecated by FIPS 140-2
3489
3490    *Steve Henson*
3491
3492  * Extensive self tests and health checking required by SP800-90 DRBG.
3493    Remove strength parameter from FIPS_drbg_instantiate and always
3494    instantiate at maximum supported strength.
3495
3496    *Steve Henson*
3497
3498  * Add ECDH code to fips module and fips_ecdhvs for primitives only testing.
3499
3500    *Steve Henson*
3501
3502  * New algorithm test program fips_dhvs to handle DH primitives only testing.
3503
3504    *Steve Henson*
3505
3506  * New function DH_compute_key_padded() to compute a DH key and pad with
3507    leading zeroes if needed: this complies with SP800-56A et al.
3508
3509    *Steve Henson*
3510
3511  * Initial implementation of SP800-90 DRBGs for Hash and CTR. Not used by
3512    anything, incomplete, subject to change and largely untested at present.
3513
3514    *Steve Henson*
3515
3516  * Modify fipscanisteronly build option to only build the necessary object
3517    files by filtering FIPS_EX_OBJ through a perl script in crypto/Makefile.
3518
3519    *Steve Henson*
3520
3521  * Add experimental option FIPSSYMS to give all symbols in
3522    fipscanister.o and FIPS or fips prefix. This will avoid
3523    conflicts with future versions of OpenSSL. Add perl script
3524    util/fipsas.pl to preprocess assembly language source files
3525    and rename any affected symbols.
3526
3527    *Steve Henson*
3528
3529  * Add selftest checks and algorithm block of non-fips algorithms in
3530    FIPS mode. Remove DES2 from selftests.
3531
3532    *Steve Henson*
3533
3534  * Add ECDSA code to fips module. Add tiny fips_ecdsa_check to just
3535    return internal method without any ENGINE dependencies. Add new
3536    tiny fips sign and verify functions.
3537
3538    *Steve Henson*
3539
3540  * New build option no-ec2m to disable characteristic 2 code.
3541
3542    *Steve Henson*
3543
3544  * New build option "fipscanisteronly". This only builds fipscanister.o
3545    and (currently) associated fips utilities. Uses the file Makefile.fips
3546    instead of Makefile.org as the prototype.
3547
3548    *Steve Henson*
3549
3550  * Add some FIPS mode restrictions to GCM. Add internal IV generator.
3551    Update fips_gcmtest to use IV generator.
3552
3553    *Steve Henson*
3554
3555  * Initial, experimental EVP support for AES-GCM. AAD can be input by
3556    setting output buffer to NULL. The `*Final` function must be
3557    called although it will not retrieve any additional data. The tag
3558    can be set or retrieved with a ctrl. The IV length is by default 12
3559    bytes (96 bits) but can be set to an alternative value. If the IV
3560    length exceeds the maximum IV length (currently 16 bytes) it cannot be
3561    set before the key.
3562
3563    *Steve Henson*
3564
3565  * New flag in ciphers: EVP_CIPH_FLAG_CUSTOM_CIPHER. This means the
3566    underlying do_cipher function handles all cipher semantics itself
3567    including padding and finalisation. This is useful if (for example)
3568    an ENGINE cipher handles block padding itself. The behaviour of
3569    do_cipher is subtly changed if this flag is set: the return value
3570    is the number of characters written to the output buffer (zero is
3571    no longer an error code) or a negative error code. Also if the
3572    input buffer is NULL and length 0 finalisation should be performed.
3573
3574    *Steve Henson*
3575
3576  * If a candidate issuer certificate is already part of the constructed
3577    path ignore it: new debug notification X509_V_ERR_PATH_LOOP for this case.
3578
3579    *Steve Henson*
3580
3581  * Improve forward-security support: add functions
3582
3583            void SSL_CTX_set_not_resumable_session_callback(
3584                     SSL_CTX *ctx, int (*cb)(SSL *ssl, int is_forward_secure))
3585            void SSL_set_not_resumable_session_callback(
3586                     SSL *ssl, int (*cb)(SSL *ssl, int is_forward_secure))
3587
3588    for use by SSL/TLS servers; the callback function will be called whenever a
3589    new session is created, and gets to decide whether the session may be
3590    cached to make it resumable (return 0) or not (return 1).  (As by the
3591    SSL/TLS protocol specifications, the session_id sent by the server will be
3592    empty to indicate that the session is not resumable; also, the server will
3593    not generate RFC 4507 (RFC 5077) session tickets.)
3594
3595    A simple reasonable callback implementation is to return is_forward_secure.
3596    This parameter will be set to 1 or 0 depending on the ciphersuite selected
3597    by the SSL/TLS server library, indicating whether it can provide forward
3598    security.
3599
3600    *Emilia Käsper <emilia.kasper@esat.kuleuven.be> (Google)*
3601
3602  * New -verify_name option in command line utilities to set verification
3603    parameters by name.
3604
3605    *Steve Henson*
3606
3607  * Initial CMAC implementation. WARNING: EXPERIMENTAL, API MAY CHANGE.
3608    Add CMAC pkey methods.
3609
3610    *Steve Henson*
3611
3612  * Experimental renegotiation in s_server -www mode. If the client
3613    browses /reneg connection is renegotiated. If /renegcert it is
3614    renegotiated requesting a certificate.
3615
3616    *Steve Henson*
3617
3618  * Add an "external" session cache for debugging purposes to s_server. This
3619    should help trace issues which normally are only apparent in deployed
3620    multi-process servers.
3621
3622    *Steve Henson*
3623
3624  * Extensive audit of libcrypto with DEBUG_UNUSED. Fix many cases where
3625    return value is ignored. NB. The functions RAND_add(), RAND_seed(),
3626    BIO_set_cipher() and some obscure PEM functions were changed so they
3627    can now return an error. The RAND changes required a change to the
3628    RAND_METHOD structure.
3629
3630    *Steve Henson*
3631
3632  * New macro `__owur` for "OpenSSL Warn Unused Result". This makes use of
3633    a gcc attribute to warn if the result of a function is ignored. This
3634    is enable if DEBUG_UNUSED is set. Add to several functions in evp.h
3635    whose return value is often ignored.
3636
3637    *Steve Henson*
3638
3639  * New -noct, -requestct, -requirect and -ctlogfile options for s_client.
3640    These allow SCTs (signed certificate timestamps) to be requested and
3641    validated when establishing a connection.
3642
3643    *Rob Percival <robpercival@google.com>*
3644
3645 OpenSSL 1.0.2
3646 -------------
3647
3648 ### Changes between 1.0.2s and 1.0.2t [10 Sep 2019]
3649
3650  * For built-in EC curves, ensure an EC_GROUP built from the curve name is
3651    used even when parsing explicit parameters, when loading a serialized key
3652    or calling `EC_GROUP_new_from_ecpkparameters()`/
3653    `EC_GROUP_new_from_ecparameters()`.
3654    This prevents bypass of security hardening and performance gains,
3655    especially for curves with specialized EC_METHODs.
3656    By default, if a key encoded with explicit parameters is loaded and later
3657    serialized, the output is still encoded with explicit parameters, even if
3658    internally a "named" EC_GROUP is used for computation.
3659
3660    *Nicola Tuveri*
3661
3662  * Compute ECC cofactors if not provided during EC_GROUP construction. Before
3663    this change, EC_GROUP_set_generator would accept order and/or cofactor as
3664    NULL. After this change, only the cofactor parameter can be NULL. It also
3665    does some minimal sanity checks on the passed order.
3666    [CVE-2019-1547][]
3667
3668    *Billy Bob Brumley*
3669
3670  * Fixed a padding oracle in PKCS7_dataDecode and CMS_decrypt_set1_pkey.
3671    An attack is simple, if the first CMS_recipientInfo is valid but the
3672    second CMS_recipientInfo is chosen ciphertext. If the second
3673    recipientInfo decodes to PKCS #1 v1.5 form plaintext, the correct
3674    encryption key will be replaced by garbage, and the message cannot be
3675    decoded, but if the RSA decryption fails, the correct encryption key is
3676    used and the recipient will not notice the attack.
3677    As a work around for this potential attack the length of the decrypted
3678    key must be equal to the cipher default key length, in case the
3679    certifiate is not given and all recipientInfo are tried out.
3680    The old behaviour can be re-enabled in the CMS code by setting the
3681    CMS_DEBUG_DECRYPT flag.
3682    [CVE-2019-1563][]
3683
3684    *Bernd Edlinger*
3685
3686  * Document issue with installation paths in diverse Windows builds
3687
3688    '/usr/local/ssl' is an unsafe prefix for location to install OpenSSL
3689    binaries and run-time config file.
3690    [CVE-2019-1552][]
3691
3692    *Richard Levitte*
3693
3694 ### Changes between 1.0.2r and 1.0.2s [28 May 2019]
3695
3696  * Change the default RSA, DSA and DH size to 2048 bit instead of 1024.
3697    This changes the size when using the genpkey app when no size is given. It
3698    fixes an omission in earlier changes that changed all RSA, DSA and DH
3699    generation apps to use 2048 bits by default.
3700
3701    *Kurt Roeckx*
3702
3703  * Add FIPS support for Android Arm 64-bit
3704
3705    Support for Android Arm 64-bit was added to the OpenSSL FIPS Object
3706    Module in Version 2.0.10. For some reason, the corresponding target
3707    'android64-aarch64' was missing OpenSSL 1.0.2, whence it could not be
3708    built with FIPS support on Android Arm 64-bit. This omission has been
3709    fixed.
3710
3711    *Matthias St. Pierre*
3712
3713 ### Changes between 1.0.2q and 1.0.2r [26 Feb 2019]
3714
3715  * 0-byte record padding oracle
3716
3717    If an application encounters a fatal protocol error and then calls
3718    SSL_shutdown() twice (once to send a close_notify, and once to receive one)
3719    then OpenSSL can respond differently to the calling application if a 0 byte
3720    record is received with invalid padding compared to if a 0 byte record is
3721    received with an invalid MAC. If the application then behaves differently
3722    based on that in a way that is detectable to the remote peer, then this
3723    amounts to a padding oracle that could be used to decrypt data.
3724
3725    In order for this to be exploitable "non-stitched" ciphersuites must be in
3726    use. Stitched ciphersuites are optimised implementations of certain
3727    commonly used ciphersuites. Also the application must call SSL_shutdown()
3728    twice even if a protocol error has occurred (applications should not do
3729    this but some do anyway).
3730
3731    This issue was discovered by Juraj Somorovsky, Robert Merget and Nimrod
3732    Aviram, with additional investigation by Steven Collison and Andrew
3733    Hourselt. It was reported to OpenSSL on 10th December 2018.
3734    [CVE-2019-1559][]
3735
3736    *Matt Caswell*
3737
3738  * Move strictness check from EVP_PKEY_asn1_new() to EVP_PKEY_asn1_add0().
3739
3740    *Richard Levitte*
3741
3742 ### Changes between 1.0.2p and 1.0.2q [20 Nov 2018]
3743
3744  * Microarchitecture timing vulnerability in ECC scalar multiplication
3745
3746    OpenSSL ECC scalar multiplication, used in e.g. ECDSA and ECDH, has been
3747    shown to be vulnerable to a microarchitecture timing side channel attack.
3748    An attacker with sufficient access to mount local timing attacks during
3749    ECDSA signature generation could recover the private key.
3750
3751    This issue was reported to OpenSSL on 26th October 2018 by Alejandro
3752    Cabrera Aldaya, Billy Brumley, Sohaib ul Hassan, Cesar Pereida Garcia and
3753    Nicola Tuveri.
3754    [CVE-2018-5407][]
3755
3756    *Billy Brumley*
3757
3758  * Timing vulnerability in DSA signature generation
3759
3760    The OpenSSL DSA signature algorithm has been shown to be vulnerable to a
3761    timing side channel attack. An attacker could use variations in the signing
3762    algorithm to recover the private key.
3763
3764    This issue was reported to OpenSSL on 16th October 2018 by Samuel Weiser.
3765    [CVE-2018-0734][]
3766
3767    *Paul Dale*
3768
3769  * Resolve a compatibility issue in EC_GROUP handling with the FIPS Object
3770    Module, accidentally introduced while backporting security fixes from the
3771    development branch and hindering the use of ECC in FIPS mode.
3772
3773    *Nicola Tuveri*
3774
3775 ### Changes between 1.0.2o and 1.0.2p [14 Aug 2018]
3776
3777  * Client DoS due to large DH parameter
3778
3779    During key agreement in a TLS handshake using a DH(E) based ciphersuite a
3780    malicious server can send a very large prime value to the client. This will
3781    cause the client to spend an unreasonably long period of time generating a
3782    key for this prime resulting in a hang until the client has finished. This
3783    could be exploited in a Denial Of Service attack.
3784
3785    This issue was reported to OpenSSL on 5th June 2018 by Guido Vranken
3786    [CVE-2018-0732][]
3787
3788    *Guido Vranken*
3789
3790  * Cache timing vulnerability in RSA Key Generation
3791
3792    The OpenSSL RSA Key generation algorithm has been shown to be vulnerable to
3793    a cache timing side channel attack. An attacker with sufficient access to
3794    mount cache timing attacks during the RSA key generation process could
3795    recover the private key.
3796
3797    This issue was reported to OpenSSL on 4th April 2018 by Alejandro Cabrera
3798    Aldaya, Billy Brumley, Cesar Pereida Garcia and Luis Manuel Alvarez Tapia.
3799    [CVE-2018-0737][]
3800
3801    *Billy Brumley*
3802
3803  * Make EVP_PKEY_asn1_new() a bit stricter about its input.  A NULL pem_str
3804    parameter is no longer accepted, as it leads to a corrupt table.  NULL
3805    pem_str is reserved for alias entries only.
3806
3807    *Richard Levitte*
3808
3809  * Revert blinding in ECDSA sign and instead make problematic addition
3810    length-invariant. Switch even to fixed-length Montgomery multiplication.
3811
3812    *Andy Polyakov*
3813
3814  * Change generating and checking of primes so that the error rate of not
3815    being prime depends on the intended use based on the size of the input.
3816    For larger primes this will result in more rounds of Miller-Rabin.
3817    The maximal error rate for primes with more than 1080 bits is lowered
3818    to 2^-128.
3819
3820    *Kurt Roeckx, Annie Yousar*
3821
3822  * Increase the number of Miller-Rabin rounds for DSA key generating to 64.
3823
3824    *Kurt Roeckx*
3825
3826  * Add blinding to ECDSA and DSA signatures to protect against side channel
3827    attacks discovered by Keegan Ryan (NCC Group).
3828
3829    *Matt Caswell*
3830
3831  * When unlocking a pass phrase protected PEM file or PKCS#8 container, we
3832    now allow empty (zero character) pass phrases.
3833
3834    *Richard Levitte*
3835
3836  * Certificate time validation (X509_cmp_time) enforces stricter
3837    compliance with RFC 5280. Fractional seconds and timezone offsets
3838    are no longer allowed.
3839
3840    *Emilia Käsper*
3841
3842 ### Changes between 1.0.2n and 1.0.2o [27 Mar 2018]
3843
3844  * Constructed ASN.1 types with a recursive definition could exceed the stack
3845
3846    Constructed ASN.1 types with a recursive definition (such as can be found
3847    in PKCS7) could eventually exceed the stack given malicious input with
3848    excessive recursion. This could result in a Denial Of Service attack. There
3849    are no such structures used within SSL/TLS that come from untrusted sources
3850    so this is considered safe.
3851
3852    This issue was reported to OpenSSL on 4th January 2018 by the OSS-fuzz
3853    project.
3854    [CVE-2018-0739][]
3855
3856    *Matt Caswell*
3857
3858 ### Changes between 1.0.2m and 1.0.2n [7 Dec 2017]
3859
3860  * Read/write after SSL object in error state
3861
3862    OpenSSL 1.0.2 (starting from version 1.0.2b) introduced an "error state"
3863    mechanism. The intent was that if a fatal error occurred during a handshake
3864    then OpenSSL would move into the error state and would immediately fail if
3865    you attempted to continue the handshake. This works as designed for the
3866    explicit handshake functions (SSL_do_handshake(), SSL_accept() and
3867    SSL_connect()), however due to a bug it does not work correctly if
3868    SSL_read() or SSL_write() is called directly. In that scenario, if the
3869    handshake fails then a fatal error will be returned in the initial function
3870    call. If SSL_read()/SSL_write() is subsequently called by the application
3871    for the same SSL object then it will succeed and the data is passed without
3872    being decrypted/encrypted directly from the SSL/TLS record layer.
3873
3874    In order to exploit this issue an application bug would have to be present
3875    that resulted in a call to SSL_read()/SSL_write() being issued after having
3876    already received a fatal error.
3877
3878    This issue was reported to OpenSSL by David Benjamin (Google).
3879    [CVE-2017-3737][]
3880
3881    *Matt Caswell*
3882
3883  * rsaz_1024_mul_avx2 overflow bug on x86_64
3884
3885    There is an overflow bug in the AVX2 Montgomery multiplication procedure
3886    used in exponentiation with 1024-bit moduli. No EC algorithms are affected.
3887    Analysis suggests that attacks against RSA and DSA as a result of this
3888    defect would be very difficult to perform and are not believed likely.
3889    Attacks against DH1024 are considered just feasible, because most of the
3890    work necessary to deduce information about a private key may be performed
3891    offline. The amount of resources required for such an attack would be
3892    significant. However, for an attack on TLS to be meaningful, the server
3893    would have to share the DH1024 private key among multiple clients, which is
3894    no longer an option since CVE-2016-0701.
3895
3896    This only affects processors that support the AVX2 but not ADX extensions
3897    like Intel Haswell (4th generation).
3898
3899    This issue was reported to OpenSSL by David Benjamin (Google). The issue
3900    was originally found via the OSS-Fuzz project.
3901    [CVE-2017-3738][]
3902
3903    *Andy Polyakov*
3904
3905 ### Changes between 1.0.2l and 1.0.2m [2 Nov 2017]
3906
3907  * bn_sqrx8x_internal carry bug on x86_64
3908
3909    There is a carry propagating bug in the x86_64 Montgomery squaring
3910    procedure. No EC algorithms are affected. Analysis suggests that attacks
3911    against RSA and DSA as a result of this defect would be very difficult to
3912    perform and are not believed likely. Attacks against DH are considered just
3913    feasible (although very difficult) because most of the work necessary to
3914    deduce information about a private key may be performed offline. The amount
3915    of resources required for such an attack would be very significant and
3916    likely only accessible to a limited number of attackers. An attacker would
3917    additionally need online access to an unpatched system using the target
3918    private key in a scenario with persistent DH parameters and a private
3919    key that is shared between multiple clients.
3920
3921    This only affects processors that support the BMI1, BMI2 and ADX extensions
3922    like Intel Broadwell (5th generation) and later or AMD Ryzen.
3923
3924    This issue was reported to OpenSSL by the OSS-Fuzz project.
3925    [CVE-2017-3736][]
3926
3927    *Andy Polyakov*
3928
3929  * Malformed X.509 IPAddressFamily could cause OOB read
3930
3931    If an X.509 certificate has a malformed IPAddressFamily extension,
3932    OpenSSL could do a one-byte buffer overread. The most likely result
3933    would be an erroneous display of the certificate in text format.
3934
3935    This issue was reported to OpenSSL by the OSS-Fuzz project.
3936    [CVE-2017-3735][]
3937
3938    *Rich Salz*
3939
3940 ### Changes between 1.0.2k and 1.0.2l [25 May 2017]
3941
3942  * Have 'config' recognise 64-bit mingw and choose 'mingw64' as the target
3943    platform rather than 'mingw'.
3944
3945    *Richard Levitte*
3946
3947 ### Changes between 1.0.2j and 1.0.2k [26 Jan 2017]
3948
3949  * Truncated packet could crash via OOB read
3950
3951    If one side of an SSL/TLS path is running on a 32-bit host and a specific
3952    cipher is being used, then a truncated packet can cause that host to
3953    perform an out-of-bounds read, usually resulting in a crash.
3954
3955    This issue was reported to OpenSSL by Robert Święcki of Google.
3956    [CVE-2017-3731][]
3957
3958    *Andy Polyakov*
3959
3960  * BN_mod_exp may produce incorrect results on x86_64
3961
3962    There is a carry propagating bug in the x86_64 Montgomery squaring
3963    procedure. No EC algorithms are affected. Analysis suggests that attacks
3964    against RSA and DSA as a result of this defect would be very difficult to
3965    perform and are not believed likely. Attacks against DH are considered just
3966    feasible (although very difficult) because most of the work necessary to
3967    deduce information about a private key may be performed offline. The amount
3968    of resources required for such an attack would be very significant and
3969    likely only accessible to a limited number of attackers. An attacker would
3970    additionally need online access to an unpatched system using the target
3971    private key in a scenario with persistent DH parameters and a private
3972    key that is shared between multiple clients. For example this can occur by
3973    default in OpenSSL DHE based SSL/TLS ciphersuites. Note: This issue is very
3974    similar to CVE-2015-3193 but must be treated as a separate problem.
3975
3976    This issue was reported to OpenSSL by the OSS-Fuzz project.
3977    [CVE-2017-3732][]
3978
3979    *Andy Polyakov*
3980
3981  * Montgomery multiplication may produce incorrect results
3982
3983    There is a carry propagating bug in the Broadwell-specific Montgomery
3984    multiplication procedure that handles input lengths divisible by, but
3985    longer than 256 bits. Analysis suggests that attacks against RSA, DSA
3986    and DH private keys are impossible. This is because the subroutine in
3987    question is not used in operations with the private key itself and an input
3988    of the attacker's direct choice. Otherwise the bug can manifest itself as
3989    transient authentication and key negotiation failures or reproducible
3990    erroneous outcome of public-key operations with specially crafted input.
3991    Among EC algorithms only Brainpool P-512 curves are affected and one
3992    presumably can attack ECDH key negotiation. Impact was not analyzed in
3993    detail, because pre-requisites for attack are considered unlikely. Namely
3994    multiple clients have to choose the curve in question and the server has to
3995    share the private key among them, neither of which is default behaviour.
3996    Even then only clients that chose the curve will be affected.
3997
3998    This issue was publicly reported as transient failures and was not
3999    initially recognized as a security issue. Thanks to Richard Morgan for
4000    providing reproducible case.
4001    [CVE-2016-7055][]
4002
4003    *Andy Polyakov*
4004
4005  * OpenSSL now fails if it receives an unrecognised record type in TLS1.0
4006    or TLS1.1. Previously this only happened in SSLv3 and TLS1.2. This is to
4007    prevent issues where no progress is being made and the peer continually
4008    sends unrecognised record types, using up resources processing them.
4009
4010    *Matt Caswell*
4011
4012 ### Changes between 1.0.2i and 1.0.2j [26 Sep 2016]
4013
4014  * Missing CRL sanity check
4015
4016    A bug fix which included a CRL sanity check was added to OpenSSL 1.1.0
4017    but was omitted from OpenSSL 1.0.2i. As a result any attempt to use
4018    CRLs in OpenSSL 1.0.2i will crash with a null pointer exception.
4019
4020    This issue only affects the OpenSSL 1.0.2i
4021    [CVE-2016-7052][]
4022
4023    *Matt Caswell*
4024
4025 ### Changes between 1.0.2h and 1.0.2i [22 Sep 2016]
4026
4027  * OCSP Status Request extension unbounded memory growth
4028
4029    A malicious client can send an excessively large OCSP Status Request
4030    extension. If that client continually requests renegotiation, sending a
4031    large OCSP Status Request extension each time, then there will be unbounded
4032    memory growth on the server. This will eventually lead to a Denial Of
4033    Service attack through memory exhaustion. Servers with a default
4034    configuration are vulnerable even if they do not support OCSP. Builds using
4035    the "no-ocsp" build time option are not affected.
4036
4037    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
4038    [CVE-2016-6304][]
4039
4040    *Matt Caswell*
4041
4042  * In order to mitigate the SWEET32 attack, the DES ciphers were moved from
4043    HIGH to MEDIUM.
4044
4045    This issue was reported to OpenSSL Karthikeyan Bhargavan and Gaetan
4046    Leurent (INRIA)
4047    [CVE-2016-2183][]
4048
4049    *Rich Salz*
4050
4051  * OOB write in MDC2_Update()
4052
4053    An overflow can occur in MDC2_Update() either if called directly or
4054    through the EVP_DigestUpdate() function using MDC2. If an attacker
4055    is able to supply very large amounts of input data after a previous
4056    call to EVP_EncryptUpdate() with a partial block then a length check
4057    can overflow resulting in a heap corruption.
4058
4059    The amount of data needed is comparable to SIZE_MAX which is impractical
4060    on most platforms.
4061
4062    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
4063    [CVE-2016-6303][]
4064
4065    *Stephen Henson*
4066
4067  * Malformed SHA512 ticket DoS
4068
4069    If a server uses SHA512 for TLS session ticket HMAC it is vulnerable to a
4070    DoS attack where a malformed ticket will result in an OOB read which will
4071    ultimately crash.
4072
4073    The use of SHA512 in TLS session tickets is comparatively rare as it requires
4074    a custom server callback and ticket lookup mechanism.
4075
4076    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
4077    [CVE-2016-6302][]
4078
4079    *Stephen Henson*
4080
4081  * OOB write in BN_bn2dec()
4082
4083    The function BN_bn2dec() does not check the return value of BN_div_word().
4084    This can cause an OOB write if an application uses this function with an
4085    overly large BIGNUM. This could be a problem if an overly large certificate
4086    or CRL is printed out from an untrusted source. TLS is not affected because
4087    record limits will reject an oversized certificate before it is parsed.
4088
4089    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
4090    [CVE-2016-2182][]
4091
4092    *Stephen Henson*
4093
4094  * OOB read in TS_OBJ_print_bio()
4095
4096    The function TS_OBJ_print_bio() misuses OBJ_obj2txt(): the return value is
4097    the total length the OID text representation would use and not the amount
4098    of data written. This will result in OOB reads when large OIDs are
4099    presented.
4100
4101    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
4102    [CVE-2016-2180][]
4103
4104    *Stephen Henson*
4105
4106  * Pointer arithmetic undefined behaviour
4107
4108    Avoid some undefined pointer arithmetic
4109
4110    A common idiom in the codebase is to check limits in the following manner:
4111    "p + len > limit"
4112
4113    Where "p" points to some malloc'd data of SIZE bytes and
4114    limit == p + SIZE
4115
4116    "len" here could be from some externally supplied data (e.g. from a TLS
4117    message).
4118
4119    The rules of C pointer arithmetic are such that "p + len" is only well
4120    defined where len <= SIZE. Therefore the above idiom is actually
4121    undefined behaviour.
4122
4123    For example this could cause problems if some malloc implementation
4124    provides an address for "p" such that "p + len" actually overflows for
4125    values of len that are too big and therefore p + len < limit.
4126
4127    This issue was reported to OpenSSL by Guido Vranken
4128    [CVE-2016-2177][]
4129
4130    *Matt Caswell*
4131
4132  * Constant time flag not preserved in DSA signing
4133
4134    Operations in the DSA signing algorithm should run in constant time in
4135    order to avoid side channel attacks. A flaw in the OpenSSL DSA
4136    implementation means that a non-constant time codepath is followed for
4137    certain operations. This has been demonstrated through a cache-timing
4138    attack to be sufficient for an attacker to recover the private DSA key.
4139
4140    This issue was reported by César Pereida (Aalto University), Billy Brumley
4141    (Tampere University of Technology), and Yuval Yarom (The University of
4142    Adelaide and NICTA).
4143    [CVE-2016-2178][]
4144
4145    *César Pereida*
4146
4147  * DTLS buffered message DoS
4148
4149    In a DTLS connection where handshake messages are delivered out-of-order
4150    those messages that OpenSSL is not yet ready to process will be buffered
4151    for later use. Under certain circumstances, a flaw in the logic means that
4152    those messages do not get removed from the buffer even though the handshake
4153    has been completed. An attacker could force up to approx. 15 messages to
4154    remain in the buffer when they are no longer required. These messages will
4155    be cleared when the DTLS connection is closed. The default maximum size for
4156    a message is 100k. Therefore the attacker could force an additional 1500k
4157    to be consumed per connection. By opening many simulataneous connections an
4158    attacker could cause a DoS attack through memory exhaustion.
4159
4160    This issue was reported to OpenSSL by Quan Luo.
4161    [CVE-2016-2179][]
4162
4163    *Matt Caswell*
4164
4165  * DTLS replay protection DoS
4166
4167    A flaw in the DTLS replay attack protection mechanism means that records
4168    that arrive for future epochs update the replay protection "window" before
4169    the MAC for the record has been validated. This could be exploited by an
4170    attacker by sending a record for the next epoch (which does not have to
4171    decrypt or have a valid MAC), with a very large sequence number. This means
4172    that all subsequent legitimate packets are dropped causing a denial of
4173    service for a specific DTLS connection.
4174
4175    This issue was reported to OpenSSL by the OCAP audit team.
4176    [CVE-2016-2181][]
4177
4178    *Matt Caswell*
4179
4180  * Certificate message OOB reads
4181
4182    In OpenSSL 1.0.2 and earlier some missing message length checks can result
4183    in OOB reads of up to 2 bytes beyond an allocated buffer. There is a
4184    theoretical DoS risk but this has not been observed in practice on common
4185    platforms.
4186
4187    The messages affected are client certificate, client certificate request
4188    and server certificate. As a result the attack can only be performed
4189    against a client or a server which enables client authentication.
4190
4191    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
4192    [CVE-2016-6306][]
4193
4194    *Stephen Henson*
4195
4196 ### Changes between 1.0.2g and 1.0.2h [3 May 2016]
4197
4198  * Prevent padding oracle in AES-NI CBC MAC check
4199
4200    A MITM attacker can use a padding oracle attack to decrypt traffic
4201    when the connection uses an AES CBC cipher and the server support
4202    AES-NI.
4203
4204    This issue was introduced as part of the fix for Lucky 13 padding
4205    attack [CVE-2013-0169][]. The padding check was rewritten to be in
4206    constant time by making sure that always the same bytes are read and
4207    compared against either the MAC or padding bytes. But it no longer
4208    checked that there was enough data to have both the MAC and padding
4209    bytes.
4210
4211    This issue was reported by Juraj Somorovsky using TLS-Attacker.
4212    [CVE-2016-2107][]
4213
4214    *Kurt Roeckx*
4215
4216  * Fix EVP_EncodeUpdate overflow
4217
4218    An overflow can occur in the EVP_EncodeUpdate() function which is used for
4219    Base64 encoding of binary data. If an attacker is able to supply very large
4220    amounts of input data then a length check can overflow resulting in a heap
4221    corruption.
4222
4223    Internally to OpenSSL the EVP_EncodeUpdate() function is primarily used by
4224    the `PEM_write_bio*` family of functions. These are mainly used within the
4225    OpenSSL command line applications, so any application which processes data
4226    from an untrusted source and outputs it as a PEM file should be considered
4227    vulnerable to this issue. User applications that call these APIs directly
4228    with large amounts of untrusted data may also be vulnerable.
4229
4230    This issue was reported by Guido Vranken.
4231    [CVE-2016-2105][]
4232
4233    *Matt Caswell*
4234
4235  * Fix EVP_EncryptUpdate overflow
4236
4237    An overflow can occur in the EVP_EncryptUpdate() function. If an attacker
4238    is able to supply very large amounts of input data after a previous call to
4239    EVP_EncryptUpdate() with a partial block then a length check can overflow
4240    resulting in a heap corruption. Following an analysis of all OpenSSL
4241    internal usage of the EVP_EncryptUpdate() function all usage is one of two
4242    forms. The first form is where the EVP_EncryptUpdate() call is known to be
4243    the first called function after an EVP_EncryptInit(), and therefore that
4244    specific call must be safe. The second form is where the length passed to
4245    EVP_EncryptUpdate() can be seen from the code to be some small value and
4246    therefore there is no possibility of an overflow. Since all instances are
4247    one of these two forms, it is believed that there can be no overflows in
4248    internal code due to this problem. It should be noted that
4249    EVP_DecryptUpdate() can call EVP_EncryptUpdate() in certain code paths.
4250    Also EVP_CipherUpdate() is a synonym for EVP_EncryptUpdate(). All instances
4251    of these calls have also been analysed too and it is believed there are no
4252    instances in internal usage where an overflow could occur.
4253
4254    This issue was reported by Guido Vranken.
4255    [CVE-2016-2106][]
4256
4257    *Matt Caswell*
4258
4259  * Prevent ASN.1 BIO excessive memory allocation
4260
4261    When ASN.1 data is read from a BIO using functions such as d2i_CMS_bio()
4262    a short invalid encoding can cause allocation of large amounts of memory
4263    potentially consuming excessive resources or exhausting memory.
4264
4265    Any application parsing untrusted data through d2i BIO functions is
4266    affected. The memory based functions such as d2i_X509() are *not* affected.
4267    Since the memory based functions are used by the TLS library, TLS
4268    applications are not affected.
4269
4270    This issue was reported by Brian Carpenter.
4271    [CVE-2016-2109][]
4272
4273    *Stephen Henson*
4274
4275  * EBCDIC overread
4276
4277    ASN1 Strings that are over 1024 bytes can cause an overread in applications
4278    using the X509_NAME_oneline() function on EBCDIC systems. This could result
4279    in arbitrary stack data being returned in the buffer.
4280
4281    This issue was reported by Guido Vranken.
4282    [CVE-2016-2176][]
4283
4284    *Matt Caswell*
4285
4286  * Modify behavior of ALPN to invoke callback after SNI/servername
4287    callback, such that updates to the SSL_CTX affect ALPN.
4288
4289    *Todd Short*
4290
4291  * Remove LOW from the DEFAULT cipher list.  This removes singles DES from the
4292    default.
4293
4294    *Kurt Roeckx*
4295
4296  * Only remove the SSLv2 methods with the no-ssl2-method option. When the
4297    methods are enabled and ssl2 is disabled the methods return NULL.
4298
4299    *Kurt Roeckx*
4300
4301 ### Changes between 1.0.2f and 1.0.2g [1 Mar 2016]
4302
4303 * Disable weak ciphers in SSLv3 and up in default builds of OpenSSL.
4304   Builds that are not configured with "enable-weak-ssl-ciphers" will not
4305   provide any "EXPORT" or "LOW" strength ciphers.
4306
4307   *Viktor Dukhovni*
4308
4309 * Disable SSLv2 default build, default negotiation and weak ciphers.  SSLv2
4310   is by default disabled at build-time.  Builds that are not configured with
4311   "enable-ssl2" will not support SSLv2.  Even if "enable-ssl2" is used,
4312   users who want to negotiate SSLv2 via the version-flexible SSLv23_method()
4313   will need to explicitly call either of:
4314
4315       SSL_CTX_clear_options(ctx, SSL_OP_NO_SSLv2);
4316   or
4317       SSL_clear_options(ssl, SSL_OP_NO_SSLv2);
4318
4319   as appropriate.  Even if either of those is used, or the application
4320   explicitly uses the version-specific SSLv2_method() or its client and
4321   server variants, SSLv2 ciphers vulnerable to exhaustive search key
4322   recovery have been removed.  Specifically, the SSLv2 40-bit EXPORT
4323   ciphers, and SSLv2 56-bit DES are no longer available.
4324   [CVE-2016-0800][]
4325
4326    *Viktor Dukhovni*
4327
4328  * Fix a double-free in DSA code
4329
4330    A double free bug was discovered when OpenSSL parses malformed DSA private
4331    keys and could lead to a DoS attack or memory corruption for applications
4332    that receive DSA private keys from untrusted sources.  This scenario is
4333    considered rare.
4334
4335    This issue was reported to OpenSSL by Adam Langley(Google/BoringSSL) using
4336    libFuzzer.
4337    [CVE-2016-0705][]
4338
4339    *Stephen Henson*
4340
4341  * Disable SRP fake user seed to address a server memory leak.
4342
4343    Add a new method SRP_VBASE_get1_by_user that handles the seed properly.
4344
4345    SRP_VBASE_get_by_user had inconsistent memory management behaviour.
4346    In order to fix an unavoidable memory leak, SRP_VBASE_get_by_user
4347    was changed to ignore the "fake user" SRP seed, even if the seed
4348    is configured.
4349
4350    Users should use SRP_VBASE_get1_by_user instead. Note that in
4351    SRP_VBASE_get1_by_user, caller must free the returned value. Note
4352    also that even though configuring the SRP seed attempts to hide
4353    invalid usernames by continuing the handshake with fake
4354    credentials, this behaviour is not constant time and no strong
4355    guarantees are made that the handshake is indistinguishable from
4356    that of a valid user.
4357    [CVE-2016-0798][]
4358
4359    *Emilia Käsper*
4360
4361  * Fix BN_hex2bn/BN_dec2bn NULL pointer deref/heap corruption
4362
4363    In the BN_hex2bn function the number of hex digits is calculated using an
4364    int value |i|. Later |bn_expand| is called with a value of |i * 4|. For
4365    large values of |i| this can result in |bn_expand| not allocating any
4366    memory because |i * 4| is negative. This can leave the internal BIGNUM data
4367    field as NULL leading to a subsequent NULL ptr deref. For very large values
4368    of |i|, the calculation |i * 4| could be a positive value smaller than |i|.
4369    In this case memory is allocated to the internal BIGNUM data field, but it
4370    is insufficiently sized leading to heap corruption. A similar issue exists
4371    in BN_dec2bn. This could have security consequences if BN_hex2bn/BN_dec2bn
4372    is ever called by user applications with very large untrusted hex/dec data.
4373    This is anticipated to be a rare occurrence.
4374
4375    All OpenSSL internal usage of these functions use data that is not expected
4376    to be untrusted, e.g. config file data or application command line
4377    arguments. If user developed applications generate config file data based
4378    on untrusted data then it is possible that this could also lead to security
4379    consequences. This is also anticipated to be rare.
4380
4381    This issue was reported to OpenSSL by Guido Vranken.
4382    [CVE-2016-0797][]
4383
4384    *Matt Caswell*
4385
4386  * Fix memory issues in `BIO_*printf` functions
4387
4388    The internal |fmtstr| function used in processing a "%s" format string in
4389    the `BIO_*printf` functions could overflow while calculating the length of a
4390    string and cause an OOB read when printing very long strings.
4391
4392    Additionally the internal |doapr_outch| function can attempt to write to an
4393    OOB memory location (at an offset from the NULL pointer) in the event of a
4394    memory allocation failure. In 1.0.2 and below this could be caused where
4395    the size of a buffer to be allocated is greater than INT_MAX. E.g. this
4396    could be in processing a very long "%s" format string. Memory leaks can
4397    also occur.
4398
4399    The first issue may mask the second issue dependent on compiler behaviour.
4400    These problems could enable attacks where large amounts of untrusted data
4401    is passed to the `BIO_*printf` functions. If applications use these functions
4402    in this way then they could be vulnerable. OpenSSL itself uses these
4403    functions when printing out human-readable dumps of ASN.1 data. Therefore
4404    applications that print this data could be vulnerable if the data is from
4405    untrusted sources. OpenSSL command line applications could also be
4406    vulnerable where they print out ASN.1 data, or if untrusted data is passed
4407    as command line arguments.
4408
4409    Libssl is not considered directly vulnerable. Additionally certificates etc
4410    received via remote connections via libssl are also unlikely to be able to
4411    trigger these issues because of message size limits enforced within libssl.
4412
4413    This issue was reported to OpenSSL Guido Vranken.
4414    [CVE-2016-0799][]
4415
4416    *Matt Caswell*
4417
4418  * Side channel attack on modular exponentiation
4419
4420    A side-channel attack was found which makes use of cache-bank conflicts on
4421    the Intel Sandy-Bridge microarchitecture which could lead to the recovery
4422    of RSA keys.  The ability to exploit this issue is limited as it relies on
4423    an attacker who has control of code in a thread running on the same
4424    hyper-threaded core as the victim thread which is performing decryptions.
4425
4426    This issue was reported to OpenSSL by Yuval Yarom, The University of
4427    Adelaide and NICTA, Daniel Genkin, Technion and Tel Aviv University, and
4428    Nadia Heninger, University of Pennsylvania with more information at
4429    <http://cachebleed.info>.
4430    [CVE-2016-0702][]
4431
4432    *Andy Polyakov*
4433
4434  * Change the req app to generate a 2048-bit RSA/DSA key by default,
4435    if no keysize is specified with default_bits. This fixes an
4436    omission in an earlier change that changed all RSA/DSA key generation
4437    apps to use 2048 bits by default.
4438
4439    *Emilia Käsper*
4440
4441 ### Changes between 1.0.2e and 1.0.2f [28 Jan 2016]
4442
4443  * DH small subgroups
4444
4445    Historically OpenSSL only ever generated DH parameters based on "safe"
4446    primes. More recently (in version 1.0.2) support was provided for
4447    generating X9.42 style parameter files such as those required for RFC 5114
4448    support. The primes used in such files may not be "safe". Where an
4449    application is using DH configured with parameters based on primes that are
4450    not "safe" then an attacker could use this fact to find a peer's private
4451    DH exponent. This attack requires that the attacker complete multiple
4452    handshakes in which the peer uses the same private DH exponent. For example
4453    this could be used to discover a TLS server's private DH exponent if it's
4454    reusing the private DH exponent or it's using a static DH ciphersuite.
4455
4456    OpenSSL provides the option SSL_OP_SINGLE_DH_USE for ephemeral DH (DHE) in
4457    TLS. It is not on by default. If the option is not set then the server
4458    reuses the same private DH exponent for the life of the server process and
4459    would be vulnerable to this attack. It is believed that many popular
4460    applications do set this option and would therefore not be at risk.
4461
4462    The fix for this issue adds an additional check where a "q" parameter is
4463    available (as is the case in X9.42 based parameters). This detects the
4464    only known attack, and is the only possible defense for static DH
4465    ciphersuites. This could have some performance impact.
4466
4467    Additionally the SSL_OP_SINGLE_DH_USE option has been switched on by
4468    default and cannot be disabled. This could have some performance impact.
4469
4470    This issue was reported to OpenSSL by Antonio Sanso (Adobe).
4471    [CVE-2016-0701][]
4472
4473    *Matt Caswell*
4474
4475  * SSLv2 doesn't block disabled ciphers
4476
4477    A malicious client can negotiate SSLv2 ciphers that have been disabled on
4478    the server and complete SSLv2 handshakes even if all SSLv2 ciphers have
4479    been disabled, provided that the SSLv2 protocol was not also disabled via
4480    SSL_OP_NO_SSLv2.
4481
4482    This issue was reported to OpenSSL on 26th December 2015 by Nimrod Aviram
4483    and Sebastian Schinzel.
4484    [CVE-2015-3197][]
4485
4486    *Viktor Dukhovni*
4487
4488 ### Changes between 1.0.2d and 1.0.2e [3 Dec 2015]
4489
4490  * BN_mod_exp may produce incorrect results on x86_64
4491
4492    There is a carry propagating bug in the x86_64 Montgomery squaring
4493    procedure. No EC algorithms are affected. Analysis suggests that attacks
4494    against RSA and DSA as a result of this defect would be very difficult to
4495    perform and are not believed likely. Attacks against DH are considered just
4496    feasible (although very difficult) because most of the work necessary to
4497    deduce information about a private key may be performed offline. The amount
4498    of resources required for such an attack would be very significant and
4499    likely only accessible to a limited number of attackers. An attacker would
4500    additionally need online access to an unpatched system using the target
4501    private key in a scenario with persistent DH parameters and a private
4502    key that is shared between multiple clients. For example this can occur by
4503    default in OpenSSL DHE based SSL/TLS ciphersuites.
4504
4505    This issue was reported to OpenSSL by Hanno Böck.
4506    [CVE-2015-3193][]
4507
4508    *Andy Polyakov*
4509
4510  * Certificate verify crash with missing PSS parameter
4511
4512    The signature verification routines will crash with a NULL pointer
4513    dereference if presented with an ASN.1 signature using the RSA PSS
4514    algorithm and absent mask generation function parameter. Since these
4515    routines are used to verify certificate signature algorithms this can be
4516    used to crash any certificate verification operation and exploited in a
4517    DoS attack. Any application which performs certificate verification is
4518    vulnerable including OpenSSL clients and servers which enable client
4519    authentication.
4520
4521    This issue was reported to OpenSSL by Loïc Jonas Etienne (Qnective AG).
4522    [CVE-2015-3194][]
4523
4524    *Stephen Henson*
4525
4526  * X509_ATTRIBUTE memory leak
4527
4528    When presented with a malformed X509_ATTRIBUTE structure OpenSSL will leak
4529    memory. This structure is used by the PKCS#7 and CMS routines so any
4530    application which reads PKCS#7 or CMS data from untrusted sources is
4531    affected. SSL/TLS is not affected.
4532
4533    This issue was reported to OpenSSL by Adam Langley (Google/BoringSSL) using
4534    libFuzzer.
4535    [CVE-2015-3195][]
4536
4537    *Stephen Henson*
4538
4539  * Rewrite EVP_DecodeUpdate (base64 decoding) to fix several bugs.
4540    This changes the decoding behaviour for some invalid messages,
4541    though the change is mostly in the more lenient direction, and
4542    legacy behaviour is preserved as much as possible.
4543
4544    *Emilia Käsper*
4545
4546  * In DSA_generate_parameters_ex, if the provided seed is too short,
4547    return an error
4548
4549    *Rich Salz and Ismo Puustinen <ismo.puustinen@intel.com>*
4550
4551 ### Changes between 1.0.2c and 1.0.2d [9 Jul 2015]
4552
4553  * Alternate chains certificate forgery
4554
4555    During certificate verification, OpenSSL will attempt to find an
4556    alternative certificate chain if the first attempt to build such a chain
4557    fails. An error in the implementation of this logic can mean that an
4558    attacker could cause certain checks on untrusted certificates to be
4559    bypassed, such as the CA flag, enabling them to use a valid leaf
4560    certificate to act as a CA and "issue" an invalid certificate.
4561
4562    This issue was reported to OpenSSL by Adam Langley/David Benjamin
4563    (Google/BoringSSL).
4564
4565    *Matt Caswell*
4566
4567 ### Changes between 1.0.2b and 1.0.2c [12 Jun 2015]
4568
4569  * Fix HMAC ABI incompatibility. The previous version introduced an ABI
4570    incompatibility in the handling of HMAC. The previous ABI has now been
4571    restored.
4572
4573    *Matt Caswell*
4574
4575 ### Changes between 1.0.2a and 1.0.2b [11 Jun 2015]
4576
4577  * Malformed ECParameters causes infinite loop
4578
4579    When processing an ECParameters structure OpenSSL enters an infinite loop
4580    if the curve specified is over a specially malformed binary polynomial
4581    field.
4582
4583    This can be used to perform denial of service against any
4584    system which processes public keys, certificate requests or
4585    certificates.  This includes TLS clients and TLS servers with
4586    client authentication enabled.
4587
4588    This issue was reported to OpenSSL by Joseph Barr-Pixton.
4589    [CVE-2015-1788][]
4590
4591    *Andy Polyakov*
4592
4593  * Exploitable out-of-bounds read in X509_cmp_time
4594
4595    X509_cmp_time does not properly check the length of the ASN1_TIME
4596    string and can read a few bytes out of bounds. In addition,
4597    X509_cmp_time accepts an arbitrary number of fractional seconds in the
4598    time string.
4599
4600    An attacker can use this to craft malformed certificates and CRLs of
4601    various sizes and potentially cause a segmentation fault, resulting in
4602    a DoS on applications that verify certificates or CRLs. TLS clients
4603    that verify CRLs are affected. TLS clients and servers with client
4604    authentication enabled may be affected if they use custom verification
4605    callbacks.
4606
4607    This issue was reported to OpenSSL by Robert Swiecki (Google), and
4608    independently by Hanno Böck.
4609    [CVE-2015-1789][]
4610
4611    *Emilia Käsper*
4612
4613  * PKCS7 crash with missing EnvelopedContent
4614
4615    The PKCS#7 parsing code does not handle missing inner EncryptedContent
4616    correctly. An attacker can craft malformed ASN.1-encoded PKCS#7 blobs
4617    with missing content and trigger a NULL pointer dereference on parsing.
4618
4619    Applications that decrypt PKCS#7 data or otherwise parse PKCS#7
4620    structures from untrusted sources are affected. OpenSSL clients and
4621    servers are not affected.
4622
4623    This issue was reported to OpenSSL by Michal Zalewski (Google).
4624    [CVE-2015-1790][]
4625
4626    *Emilia Käsper*
4627
4628  * CMS verify infinite loop with unknown hash function
4629
4630    When verifying a signedData message the CMS code can enter an infinite loop
4631    if presented with an unknown hash function OID. This can be used to perform
4632    denial of service against any system which verifies signedData messages using
4633    the CMS code.
4634    This issue was reported to OpenSSL by Johannes Bauer.