bc4f524186364c4fcf8ce68179b298dbb5fd0a5d
[openssl.git] / CHANGES.md
1 OpenSSL CHANGES
2 ===============
3
4 This is a high-level summary of the most important changes.
5 For a full list of changes, see the [git commit log][log] and
6 pick the appropriate release branch.
7
8   [log]: https://github.com/openssl/openssl/commits/
9
10 OpenSSL Releases
11 ----------------
12
13  - [OpenSSL 3.0](#openssl-30)
14  - [OpenSSL 1.1.1](#openssl-111)
15  - [OpenSSL 1.1.0](#openssl-110)
16  - [OpenSSL 1.0.2](#openssl-102)
17  - [OpenSSL 1.0.1](#openssl-101)
18  - [OpenSSL 1.0.0](#openssl-100)
19  - [OpenSSL 0.9.x](#openssl-09x)
20
21 OpenSSL 3.0
22 -----------
23
24 ### Changes between 1.1.1 and 3.0 [xx XXX xxxx]
25
26  * Deprecated EC_POINTs_mul(). This function is not widely used and applications
27    should instead use the L<EC_POINT_mul(3)> function.
28
29    *Billy Bob Brumley*
30
31  * Removed FIPS_mode() and FIPS_mode_set(). These functions are legacy API's
32    that are not applicable to the new provider model. Applications should
33    instead use EVP_default_properties_is_fips_enabled() and
34    EVP_default_properties_enable_fips().
35
36    *Shane Lontis*
37
38  * Deprecated EC_POINT_set_Jprojective_coordinates_GFp() and
39    EC_POINT_get_Jprojective_coordinates_GFp(). These functions are not widely
40    used and applications should instead use the
41    L<EC_POINT_set_affine_coordinates(3)> and
42    L<EC_POINT_get_affine_coordinates(3)> functions.
43
44    *Billy Bob Brumley*
45
46  * Added OSSL_PARAM_BLD to the public interface.  This allows OSSL_PARAM
47    arrays to be more easily constructed via a series of utility functions.
48    Create a parameter builder using OSSL_PARAM_BLD_new(), add parameters using
49    the various push functions and finally convert to a passable OSSL_PARAM
50    array using OSSL_PARAM_BLD_to_param().
51
52    *Paul Dale*
53
54  * EVP_PKEY_get0_RSA(), EVP_PKEY_get0_DSA(), EVP_PKEY_get0_DH(), and
55    EVP_PKEY_get0_EC_KEY() can now handle EVP_PKEYs with provider side
56    internal keys, if they correspond to one of those built in types.
57
58    *Richard Levitte*
59
60  * Added EVP_PKEY_set_type_by_keymgmt(), to initialise an EVP_PKEY to
61    contain a provider side internal key.
62
63    *Richard Levitte*
64
65  * ASN1_verify(), ASN1_digest() and ASN1_sign() have been deprecated.
66    They are old functions that we don't use, and that you could disable with
67    the macro NO_ASN1_OLD.  This goes all the way back to OpenSSL 0.9.7.
68
69    *Richard Levitte*
70
71  * The main project documents (README, NEWS, CHANGES, INSTALL, SUPPORT)
72    have been converted to Markdown with the goal to produce documents
73    which not only look pretty when viewed online in the browser, but
74    remain well readable inside a plain text editor.
75
76    To achieve this goal, a 'minimalistic' Markdown style has been applied
77    which avoids formatting elements that interfere too much with the
78    reading flow in the text file. For example, it
79
80    * avoids [ATX headings][] and uses [setext headings][] instead
81      (which works for `<h1>` and `<h2>` headings only).
82    * avoids [inline links][] and uses [reference links][] instead.
83    * avoids [fenced code blocks][] and uses [indented code blocks][] instead.
84
85      [ATX headings]:         https://github.github.com/gfm/#atx-headings
86      [setext headings]:      https://github.github.com/gfm/#setext-headings
87      [inline links]:         https://github.github.com/gfm/#inline-link
88      [reference links]:      https://github.github.com/gfm/#reference-link
89      [fenced code blocks]:   https://github.github.com/gfm/#fenced-code-blocks
90      [indented code blocks]: https://github.github.com/gfm/#indented-code-blocks
91
92    *Matthias St. Pierre*
93
94  * The test suite is changed to preserve results of each test recipe.
95    A new directory test-runs/ with subdirectories named like the
96    test recipes are created in the build tree for this purpose.
97
98    *Richard Levitte*
99
100  * Added an implementation of CMP and CRMF (RFC 4210, RFC 4211 RFC 6712).
101    This adds crypto/cmp/, crpyto/crmf/, apps/cmp.c, and test/cmp_*.
102    See L<openssl-cmp(1)> and L<OSSL_CMP_exec_IR_ses(3)> as starting points.
103
104    *David von Oheimb, Martin Peylo*
105
106  * Generalized the HTTP client code from crypto/ocsp/ into crpyto/http/.
107    The legacy OCSP-focused and only partly documented API is retained.
108    See L<OSSL_CMP_MSG_http_perform(3)> etc. for details.
109
110    *David von Oheimb*
111
112  * All of the low level RSA functions have been deprecated including:
113
114    RSA_new_method, RSA_size, RSA_security_bits, RSA_get0_pss_params,
115    RSA_get_version, RSA_get0_engine, RSA_generate_key_ex,
116    RSA_generate_multi_prime_key, RSA_X931_derive_ex, RSA_X931_generate_key_ex,
117    RSA_check_key, RSA_check_key_ex, RSA_public_encrypt, RSA_private_encrypt,
118    RSA_public_decrypt, RSA_private_decrypt, RSA_set_default_method,
119    RSA_get_default_method, RSA_null_method, RSA_get_method, RSA_set_method,
120    RSA_PKCS1_OpenSSL, RSA_print_fp, RSA_print, RSA_sign, RSA_verify,
121    RSA_sign_ASN1_OCTET_STRING, RSA_verify_ASN1_OCTET_STRING, RSA_blinding_on,
122    RSA_blinding_off, RSA_setup_blinding, RSA_padding_add_PKCS1_type_1,
123    RSA_padding_check_PKCS1_type_1, RSA_padding_add_PKCS1_type_2,
124    RSA_padding_check_PKCS1_type_2, PKCS1_MGF1, RSA_padding_add_PKCS1_OAEP,
125    RSA_padding_check_PKCS1_OAEP, RSA_padding_add_PKCS1_OAEP_mgf1,
126    RSA_padding_check_PKCS1_OAEP_mgf1, RSA_padding_add_SSLv23,
127    RSA_padding_check_SSLv23, RSA_padding_add_none, RSA_padding_check_none,
128    RSA_padding_add_X931, RSA_padding_check_X931, RSA_X931_hash_id,
129    RSA_verify_PKCS1_PSS, RSA_padding_add_PKCS1_PSS, RSA_verify_PKCS1_PSS_mgf1,
130    RSA_padding_add_PKCS1_PSS_mgf1, RSA_set_ex_data, RSA_get_ex_data,
131    RSA_meth_new, RSA_meth_free, RSA_meth_dup, RSA_meth_get0_name,
132    RSA_meth_set1_name, RSA_meth_get_flags, RSA_meth_set_flags,
133    RSA_meth_get0_app_data, RSA_meth_set0_app_data, RSA_meth_get_pub_enc,
134    RSA_meth_set_pub_enc, RSA_meth_get_pub_dec, RSA_meth_set_pub_dec,
135    RSA_meth_get_priv_enc, RSA_meth_set_priv_enc, RSA_meth_get_priv_dec,
136    RSA_meth_set_priv_dec, RSA_meth_get_mod_exp, RSA_meth_set_mod_exp,
137    RSA_meth_get_bn_mod_exp, RSA_meth_set_bn_mod_exp, RSA_meth_get_init,
138    RSA_meth_set_init, RSA_meth_get_finish, RSA_meth_set_finish,
139    RSA_meth_get_sign, RSA_meth_set_sign, RSA_meth_get_verify,
140    RSA_meth_set_verify, RSA_meth_get_keygen, RSA_meth_set_keygen,
141    RSA_meth_get_multi_prime_keygen and RSA_meth_set_multi_prime_keygen.
142
143    Use of these low level functions has been informally discouraged for a long
144    time.  Instead applications should use L<EVP_PKEY_encrypt_init(3)>,
145    L<EVP_PKEY_encrypt(3)>, L<EVP_PKEY_decrypt_init(3)> and
146    L<EVP_PKEY_decrypt(3)>.
147
148    *Paul Dale*
149
150  * X509 certificates signed using SHA1 are no longer allowed at security
151    level 1 and above.
152    In TLS/SSL the default security level is 1. It can be set either
153    using the cipher string with @SECLEVEL, or calling
154    SSL_CTX_set_security_level(). If the leaf certificate is signed with SHA-1,
155    a call to SSL_CTX_use_certificate() will fail if the security level is not
156    lowered first.
157    Outside TLS/SSL, the default security level is -1 (effectively 0). It can
158    be set using X509_VERIFY_PARAM_set_auth_level() or using the -auth_level
159    options of the apps.
160
161    *Kurt Roeckx*
162
163  * The command line utilities dhparam, dsa, gendsa and dsaparam have been
164    modified to use PKEY APIs.  These commands are now in maintenance mode
165    and no new features will be added to them.
166
167    *Paul Dale*
168
169  * The command line utility rsautl has been deprecated.
170    Instead use the pkeyutl program.
171
172    *Paul Dale*
173
174  * The command line utilities genrsa and rsa have been modified to use PKEY
175    APIs  These commands are now in maintenance mode and no new features will
176    be added to them.
177
178    *Paul Dale*
179
180  * All of the low level DH functions have been deprecated including:
181
182    DH_OpenSSL, DH_set_default_method, DH_get_default_method, DH_set_method,
183    DH_new_method, DH_size, DH_security_bits, DH_get_ex_new_index,
184    DH_set_ex_data, DH_get_ex_data, DH_generate_parameters_ex,
185    DH_check_params_ex, DH_check_ex, DH_check_pub_key_ex,
186    DH_check, DH_check_pub_key, DH_generate_key, DH_compute_key,
187    DH_compute_key_padded, DHparams_print_fp, DHparams_print, DH_get_nid,
188    DH_KDF_X9_42, DH_get0_engine, DH_meth_new, DH_meth_free, DH_meth_dup,
189    DH_meth_get0_name, DH_meth_set1_name, DH_meth_get_flags, DH_meth_set_flags,
190    DH_meth_get0_app_data, DH_meth_set0_app_data, DH_meth_get_generate_key,
191    DH_meth_set_generate_key, DH_meth_get_compute_key, DH_meth_set_compute_key,
192    DH_meth_get_bn_mod_exp, DH_meth_set_bn_mod_exp, DH_meth_get_init,
193    DH_meth_set_init, DH_meth_get_finish, DH_meth_set_finish,
194    DH_meth_get_generate_params and DH_meth_set_generate_params.
195
196    Use of these low level functions has been informally discouraged for a long
197    time.  Instead applications should use L<EVP_PKEY_derive_init(3)>
198    and L<EVP_PKEY_derive(3)>.
199
200    *Paul Dale*
201
202  * All of the low level DSA functions have been deprecated including:
203
204    DSA_do_sign, DSA_do_verify, DSA_OpenSSL, DSA_set_default_method,
205    DSA_get_default_method, DSA_set_method, DSA_get_method,
206    DSA_new_method, DSA_size, DSA_security_bits, DSA_sign_setup, DSA_sign,
207    DSA_verify, DSA_get_ex_new_index, DSA_set_ex_data, DSA_get_ex_data,
208    DSA_generate_parameters_ex, DSA_generate_key, DSA_meth_new, DSA_get0_engine,
209    DSA_meth_free, DSA_meth_dup, DSA_meth_get0_name, DSA_meth_set1_name,
210    DSA_meth_get_flags, DSA_meth_set_flags, DSA_meth_get0_app_data,
211    DSA_meth_set0_app_data, DSA_meth_get_sign, DSA_meth_set_sign,
212    DSA_meth_get_sign_setup, DSA_meth_set_sign_setup, DSA_meth_get_verify,
213    DSA_meth_set_verify, DSA_meth_get_mod_exp, DSA_meth_set_mod_exp,
214    DSA_meth_get_bn_mod_exp, DSA_meth_set_bn_mod_exp, DSA_meth_get_init,
215    DSA_meth_set_init, DSA_meth_get_finish, DSA_meth_set_finish,
216    DSA_meth_get_paramgen, DSA_meth_set_paramgen, DSA_meth_get_keygen and
217    DSA_meth_set_keygen.
218
219    Use of these low level functions has been informally discouraged for a long
220    time.  Instead applications should use L<EVP_DigestSignInit_ex(3)>,
221    L<EVP_DigestSignUpdate(3)> and L<EVP_DigestSignFinal(3)>.
222
223    *Paul Dale*
224
225  * Reworked the treatment of EC EVP_PKEYs with the SM2 curve to
226    automatically become EVP_PKEY_SM2 rather than EVP_PKEY_EC.
227    This means that applications don't have to look at the curve NID and
228    `EVP_PKEY_set_alias_type(pkey, EVP_PKEY_SM2)` to get SM2 computations.
229    However, they still can, that EVP_PKEY_set_alias_type() call acts as
230    a no-op when the EVP_PKEY is already of the given type.
231
232    Parameter and key generation is also reworked to make it possible
233    to generate EVP_PKEY_SM2 parameters and keys without having to go
234    through EVP_PKEY_EC generation and then change the EVP_PKEY type.
235    However, code that does the latter will still work as before.
236
237    *Richard Levitte*
238
239  * Deprecated low level ECDH and ECDSA functions.  These include:
240
241    ECDH_compute_key, ECDSA_do_sign, ECDSA_do_sign_ex, ECDSA_do_verify,
242    ECDSA_sign_setup, ECDSA_sign, ECDSA_sign_ex, ECDSA_verify and
243    ECDSA_size.
244
245    Use of these low level functions has been informally discouraged for a long
246    time.  Instead applications should use the EVP_PKEY_derive(3),
247    EVP_DigestSign(3) and EVP_DigestVerify(3) functions.
248
249    *Paul Dale*
250
251  * Deprecated the EC_KEY_METHOD functions.  These include:
252
253    EC_KEY_METHOD_new, EC_KEY_METHOD_free, EC_KEY_METHOD_set_init,
254    EC_KEY_METHOD_set_keygen, EC_KEY_METHOD_set_compute_key,
255    EC_KEY_METHOD_set_sign, EC_KEY_METHOD_set_verify,
256    EC_KEY_METHOD_get_init, EC_KEY_METHOD_get_keygen,
257    EC_KEY_METHOD_get_compute_key, EC_KEY_METHOD_get_sign and
258    EC_KEY_METHOD_get_verify.
259
260    Instead applications and extension writers should use the OSSL_PROVIDER APIs.
261
262    *Paul Dale*
263
264  * Deprecated EVP_PKEY_decrypt_old(), please use EVP_PKEY_decrypt_init()
265    and EVP_PKEY_decrypt() instead.
266    Deprecated EVP_PKEY_encrypt_old(), please use EVP_PKEY_encrypt_init()
267    and EVP_PKEY_encrypt() instead.
268
269    *Richard Levitte*
270
271  * Enhanced the documentation of EVP_PKEY_size(), EVP_PKEY_bits()
272    and EVP_PKEY_security_bits().  Especially EVP_PKEY_size() needed
273    a new formulation to include all the things it can be used for,
274    as well as words of caution.
275
276    *Richard Levitte*
277
278  * The SSL_CTX_set_tlsext_ticket_key_cb(3) function has been deprecated.
279    Instead used the new SSL_CTX_set_tlsext_ticket_key_evp_cb(3) function.
280
281    *Paul Dale*
282
283  * All of the low level HMAC functions have been deprecated including:
284
285    HMAC, HMAC_size, HMAC_CTX_new, HMAC_CTX_reset, HMAC_CTX_free,
286    HMAC_Init_ex, HMAC_Update, HMAC_Final, HMAC_CTX_copy, HMAC_CTX_set_flags
287    and HMAC_CTX_get_md.
288
289    Use of these low level functions has been informally discouraged for a long
290    time.  Instead applications should use L<EVP_MAC_CTX_new(3)>,
291    L<EVP_MAC_CTX_free(3)>, L<EVP_MAC_init(3)>, L<EVP_MAC_update(3)>
292    and L<EVP_MAC_final(3)>.
293
294    *Paul Dale*
295
296  * Over two thousand fixes were made to the documentation, including:
297    - Common options (such as -rand/-writerand, TLS version control, etc)
298      were refactored and point to newly-enhanced descriptions in openssl.pod.
299    - Added style conformance for all options (with help from Richard Levitte),
300      documented all reported missing options, added a CI build to check
301      that all options are documented and that no unimplemented options
302      are documented.
303    - Documented some internals, such as all use of environment variables.
304    - Addressed all internal broken L<> references.
305
306    *Rich Salz*
307
308  * All of the low level CMAC functions have been deprecated including:
309
310    CMAC_CTX_new, CMAC_CTX_cleanup, CMAC_CTX_free, CMAC_CTX_get0_cipher_ctx,
311    CMAC_CTX_copy, CMAC_Init, CMAC_Update, CMAC_Final and CMAC_resume.
312
313    Use of these low level functions has been informally discouraged for a long
314    time.  Instead applications should use L<EVP_MAC_CTX_new(3)>,
315    L<EVP_MAC_CTX_free(3)>, L<EVP_MAC_init(3)>, L<EVP_MAC_update(3)>
316    and L<EVP_MAC_final(3)>.
317
318    *Paul Dale*
319
320  * All of the low level MD2, MD4, MD5, MDC2, RIPEMD160, SHA1, SHA224, SHA256,
321    SHA384, SHA512 and Whirlpool digest functions have been deprecated.
322    These include:
323
324    MD2, MD2_options, MD2_Init, MD2_Update, MD2_Final, MD4, MD4_Init,
325    MD4_Update, MD4_Final, MD4_Transform, MD5, MD5_Init, MD5_Update,
326    MD5_Final, MD5_Transform, MDC2, MDC2_Init, MDC2_Update, MDC2_Final,
327    RIPEMD160, RIPEMD160_Init, RIPEMD160_Update, RIPEMD160_Final,
328    RIPEMD160_Transform, SHA1_Init, SHA1_Update, SHA1_Final, SHA1_Transform,
329    SHA224_Init, SHA224_Update, SHA224_Final, SHA224_Transform, SHA256_Init,
330    SHA256_Update, SHA256_Final, SHA256_Transform, SHA384, SHA384_Init,
331    SHA384_Update, SHA384_Final, SHA512, SHA512_Init, SHA512_Update,
332    SHA512_Final, SHA512_Transform, WHIRLPOOL, WHIRLPOOL_Init,
333    WHIRLPOOL_Update, WHIRLPOOL_BitUpdate and WHIRLPOOL_Final.
334
335    Use of these low level functions has been informally discouraged
336    for a long time.  Applications should use the EVP_DigestInit_ex(3),
337    EVP_DigestUpdate(3) and EVP_DigestFinal_ex(3) functions instead.
338
339    *Paul Dale*
340
341  * Corrected the documentation of the return values from the `EVP_DigestSign*`
342    set of functions.  The documentation mentioned negative values for some
343    errors, but this was never the case, so the mention of negative values
344    was removed.
345
346    Code that followed the documentation and thereby check with something
347    like `EVP_DigestSignInit(...) <= 0` will continue to work undisturbed.
348
349    *Richard Levitte*
350
351  * All of the low level cipher functions have been deprecated including:
352
353    AES_options, AES_set_encrypt_key, AES_set_decrypt_key, AES_encrypt,
354    AES_decrypt, AES_ecb_encrypt, AES_cbc_encrypt, AES_cfb128_encrypt,
355    AES_cfb1_encrypt, AES_cfb8_encrypt, AES_ofb128_encrypt,
356    AES_wrap_key, AES_unwrap_key, BF_set_key, BF_encrypt, BF_decrypt,
357    BF_ecb_encrypt, BF_cbc_encrypt, BF_cfb64_encrypt, BF_ofb64_encrypt,
358    BF_options, Camellia_set_key, Camellia_encrypt, Camellia_decrypt,
359    Camellia_ecb_encrypt, Camellia_cbc_encrypt, Camellia_cfb128_encrypt,
360    Camellia_cfb1_encrypt, Camellia_cfb8_encrypt, Camellia_ofb128_encrypt,
361    Camellia_ctr128_encrypt, CAST_set_key, CAST_encrypt, CAST_decrypt,
362    CAST_ecb_encrypt, CAST_cbc_encrypt, CAST_cfb64_encrypt,
363    CAST_ofb64_encrypt, DES_options, DES_encrypt1, DES_encrypt2,
364    DES_encrypt3, DES_decrypt3, DES_cbc_encrypt, DES_ncbc_encrypt,
365    DES_pcbc_encrypt, DES_xcbc_encrypt, DES_cfb_encrypt, DES_cfb64_encrypt,
366    DES_ecb_encrypt, DES_ofb_encrypt, DES_ofb64_encrypt, DES_random_key,
367    DES_set_odd_parity, DES_check_key_parity, DES_is_weak_key, DES_set_key,
368    DES_key_sched, DES_set_key_checked, DES_set_key_unchecked,
369    DES_string_to_key, DES_string_to_2keys, DES_fixup_key_parity,
370    DES_ecb2_encrypt, DES_ede2_cbc_encrypt, DES_ede2_cfb64_encrypt,
371    DES_ede2_ofb64_encrypt, DES_ecb3_encrypt, DES_ede3_cbc_encrypt,
372    DES_ede3_cfb64_encrypt, DES_ede3_cfb_encrypt, DES_ede3_ofb64_encrypt,
373    DES_cbc_cksum, DES_quad_cksum, IDEA_encrypt, IDEA_options,
374    IDEA_ecb_encrypt, IDEA_set_encrypt_key, IDEA_set_decrypt_key,
375    IDEA_cbc_encrypt, IDEA_cfb64_encrypt, IDEA_ofb64_encrypt, RC2_set_key,
376    RC2_encrypt, RC2_decrypt, RC2_ecb_encrypt, RC2_cbc_encrypt,
377    RC2_cfb64_encrypt, RC2_ofb64_encrypt, RC4, RC4_options, RC4_set_key,
378    RC5_32_set_key, RC5_32_encrypt, RC5_32_decrypt, RC5_32_ecb_encrypt,
379    RC5_32_cbc_encrypt, RC5_32_cfb64_encrypt, RC5_32_ofb64_encrypt,
380    SEED_set_key, SEED_encrypt, SEED_decrypt, SEED_ecb_encrypt,
381    SEED_cbc_encrypt, SEED_cfb128_encrypt and SEED_ofb128_encrypt.
382
383    Use of these low level functions has been informally discouraged for
384    a long time. Applications should use the high level EVP APIs, e.g.
385    EVP_EncryptInit_ex, EVP_EncryptUpdate, EVP_EncryptFinal_ex, and the
386    equivalently named decrypt functions instead.
387
388    *Matt Caswell and Paul Dale*
389
390  * Removed include/openssl/opensslconf.h.in and replaced it with
391    include/openssl/configuration.h.in, which differs in not including
392    <openssl/macros.h>.  A short header include/openssl/opensslconf.h
393    was added to include both.
394
395    This allows internal hacks where one might need to modify the set
396    of configured macros, for example this if deprecated symbols are
397    still supposed to be available internally:
398
399        #include <openssl/configuration.h>
400
401        #undef OPENSSL_NO_DEPRECATED
402        #define OPENSSL_SUPPRESS_DEPRECATED
403
404        #include <openssl/macros.h>
405
406    This should not be used by applications that use the exported
407    symbols, as that will lead to linking errors.
408
409    *Richard Levitte*
410
411  * Fixed an overflow bug in the x64_64 Montgomery squaring procedure
412    used in exponentiation with 512-bit moduli. No EC algorithms are
413    affected. Analysis suggests that attacks against 2-prime RSA1024,
414    3-prime RSA1536, and DSA1024 as a result of this defect would be very
415    difficult to perform and are not believed likely. Attacks against DH512
416    are considered just feasible. However, for an attack the target would
417    have to re-use the DH512 private key, which is not recommended anyway.
418    Also applications directly using the low level API BN_mod_exp may be
419    affected if they use BN_FLG_CONSTTIME.
420    [CVE-2019-1551][]
421
422    *Andy Polyakov*
423
424  * Most memory-debug features have been deprecated, and the functionality
425    replaced with no-ops.
426
427    *Rich Salz*
428
429  * Added documentation for the STACK API. OpenSSL only defines the STACK
430    functions where they are used.
431
432    *Rich Salz*
433
434  * Introduced a new method type and API, OSSL_SERIALIZER, to
435    represent generic serializers.  An implementation is expected to
436    be able to serialize an object associated with a given name (such
437    as an algorithm name for an asymmetric key) into forms given by
438    implementation properties.
439
440    Serializers are primarily used from inside libcrypto, through
441    calls to functions like EVP_PKEY_print_private(),
442    PEM_write_bio_PrivateKey() and similar.
443
444    Serializers are specified in such a way that they can be made to
445    directly handle the provider side portion of an object, if this
446    provider side part comes from the same provider as the serializer
447    itself, but can also be made to handle objects in parametrized
448    form (as an OSSL_PARAM array of data).  This allows a provider to
449    offer generic serializers as a service for any other provider.
450
451    *Richard Levitte*
452
453  * Added a .pragma directive to the syntax of configuration files, to
454    allow varying behavior in a supported and predictable manner.
455    Currently added pragma:
456
457            .pragma dollarid:on
458
459    This allows dollar signs to be a keyword character unless it's
460    followed by a opening brace or parenthesis.  This is useful for
461    platforms where dollar signs are commonly used in names, such as
462    volume names and system directory names on VMS.
463
464    *Richard Levitte*
465
466  * Added functionality to create an EVP_PKEY from user data.  This
467    is effectively the same as creating a RSA, DH or DSA object and
468    then assigning them to an EVP_PKEY, but directly using algorithm
469    agnostic EVP functions.  A benefit is that this should be future
470    proof for public key algorithms to come.
471
472    *Richard Levitte*
473
474  * Change the interpretation of the '--api' configuration option to
475    mean that this is a desired API compatibility level with no
476    further meaning.  The previous interpretation, that this would
477    also mean to remove all deprecated symbols up to and including
478    the given version, no requires that 'no-deprecated' is also used
479    in the configuration.
480
481    When building applications, the desired API compatibility level
482    can be set with the OPENSSL_API_COMPAT macro like before.  For
483    API compatibility version below 3.0, the old style numerical
484    value is valid as before, such as -DOPENSSL_API_COMPAT=0x10100000L.
485    For version 3.0 and on, the value is expected to be the decimal
486    value calculated from the major and minor version like this:
487
488            MAJOR * 10000 + MINOR * 100
489
490    Examples:
491
492            -DOPENSSL_API_COMPAT=30000             For 3.0
493            -DOPENSSL_API_COMPAT=30200             For 3.2
494
495    To hide declarations that are deprecated up to and including the
496    given API compatibility level, -DOPENSSL_NO_DEPRECATED must be
497    given when building the application as well.
498
499    *Richard Levitte*
500
501  * Added the X509_LOOKUP_METHOD called X509_LOOKUP_store, to allow
502    access to certificate and CRL stores via URIs and OSSL_STORE
503    loaders.
504
505    This adds the following functions:
506
507    - X509_LOOKUP_store()
508    - X509_STORE_load_file()
509    - X509_STORE_load_path()
510    - X509_STORE_load_store()
511    - SSL_add_store_cert_subjects_to_stack()
512    - SSL_CTX_set_default_verify_store()
513    - SSL_CTX_load_verify_file()
514    - SSL_CTX_load_verify_dir()
515    - SSL_CTX_load_verify_store()
516
517    Also, the following functions are now deprecated:
518
519    - X509_STORE_load_locations() (use X509_STORE_load_file(),
520      X509_STORE_load_path() or X509_STORE_load_store() instead)
521    - SSL_CTX_load_verify_locations() (use SSL_CTX_load_verify_file(),
522      SSL_CTX_load_verify_dir() or SSL_CTX_load_verify_store() instead)
523
524    *Richard Levitte*
525
526  * Added a new method to gather entropy on VMS, based on SYS$GET_ENTROPY.
527    The presence of this system service is determined at run-time.
528
529    *Richard Levitte*
530
531  * Added functionality to create an EVP_PKEY context based on data
532    for methods from providers.  This takes an algorithm name and a
533    property query string and simply stores them, with the intent
534    that any operation that uses this context will use those strings
535    to fetch the needed methods implicitly, thereby making the port
536    of application written for pre-3.0 OpenSSL easier.
537
538    *Richard Levitte*
539
540  * The undocumented function NCONF_WIN32() has been deprecated; for
541    conversion details see the HISTORY section of doc/man5/config.pod
542
543    *Rich Salz*
544
545  * Introduced the new functions EVP_DigestSignInit_ex() and
546    EVP_DigestVerifyInit_ex(). The macros EVP_DigestSignUpdate() and
547    EVP_DigestVerifyUpdate() have been converted to functions. See the man
548    pages for further details.
549
550    *Matt Caswell*
551
552  * Over two thousand fixes were made to the documentation, including:
553    adding missing command flags, better style conformance, documentation
554    of internals, etc.
555
556    *Rich Salz, Richard Levitte*
557
558  * s390x assembly pack: add hardware-support for P-256, P-384, P-521,
559    X25519, X448, Ed25519 and Ed448.
560
561    *Patrick Steuer*
562
563  * Print all values for a PKCS#12 attribute with 'openssl pkcs12', not just
564    the first value.
565
566    *Jon Spillett*
567
568  * Deprecated the public definition of ERR_STATE as well as the function
569    ERR_get_state().  This is done in preparation of making ERR_STATE an
570    opaque type.
571
572    *Richard Levitte*
573
574  * Added ERR functionality to give callers access to the stored function
575    names that have replaced the older function code based functions.
576
577    New functions are ERR_get_error_func(), ERR_peek_error_func(),
578    ERR_peek_last_error_func(), ERR_get_error_data(), ERR_peek_error_data(),
579    ERR_peek_last_error_data(), ERR_get_error_all(), ERR_peek_error_all()
580    and ERR_peek_last_error_all().
581
582    These functions have become deprecated: ERR_get_error_line_data(),
583    ERR_peek_error_line_data(), ERR_peek_last_error_line_data() and
584    ERR_func_error_string().
585
586    *Richard Levitte*
587
588  * Extended testing to be verbose for failing tests only.  The make variables
589    VERBOSE_FAILURE or VF can be used to enable this:
590
591            $ make VF=1 test                           # Unix
592            $ mms /macro=(VF=1) test                   ! OpenVMS
593            $ nmake VF=1 test                          # Windows
594
595    *Richard Levitte*
596
597  * For built-in EC curves, ensure an EC_GROUP built from the curve name is
598    used even when parsing explicit parameters, when loading a serialized key
599    or calling `EC_GROUP_new_from_ecpkparameters()`/
600    `EC_GROUP_new_from_ecparameters()`.
601    This prevents bypass of security hardening and performance gains,
602    especially for curves with specialized EC_METHODs.
603    By default, if a key encoded with explicit parameters is loaded and later
604    serialized, the output is still encoded with explicit parameters, even if
605    internally a "named" EC_GROUP is used for computation.
606
607    *Nicola Tuveri*
608
609  * Compute ECC cofactors if not provided during EC_GROUP construction. Before
610    this change, EC_GROUP_set_generator would accept order and/or cofactor as
611    NULL. After this change, only the cofactor parameter can be NULL. It also
612    does some minimal sanity checks on the passed order.
613    [CVE-2019-1547][]
614
615    *Billy Bob Brumley*
616
617  * Fixed a padding oracle in PKCS7_dataDecode and CMS_decrypt_set1_pkey.
618    An attack is simple, if the first CMS_recipientInfo is valid but the
619    second CMS_recipientInfo is chosen ciphertext. If the second
620    recipientInfo decodes to PKCS #1 v1.5 form plaintext, the correct
621    encryption key will be replaced by garbage, and the message cannot be
622    decoded, but if the RSA decryption fails, the correct encryption key is
623    used and the recipient will not notice the attack.
624    As a work around for this potential attack the length of the decrypted
625    key must be equal to the cipher default key length, in case the
626    certifiate is not given and all recipientInfo are tried out.
627    The old behaviour can be re-enabled in the CMS code by setting the
628    CMS_DEBUG_DECRYPT flag.
629
630    *Bernd Edlinger*
631
632  * Early start up entropy quality from the DEVRANDOM seed source has been
633    improved for older Linux systems.  The RAND subsystem will wait for
634    /dev/random to be producing output before seeding from /dev/urandom.
635    The seeded state is stored for future library initialisations using
636    a system global shared memory segment.  The shared memory identifier
637    can be configured by defining OPENSSL_RAND_SEED_DEVRANDOM_SHM_ID to
638    the desired value.  The default identifier is 114.
639
640    *Paul Dale*
641
642  * Revised BN_generate_prime_ex to not avoid factors 2..17863 in p-1
643    when primes for RSA keys are computed.
644    Since we previously always generated primes == 2 (mod 3) for RSA keys,
645    the 2-prime and 3-prime RSA modules were easy to distinguish, since
646    `N = p*q = 1 (mod 3)`, but `N = p*q*r = 2 (mod 3)`. Therefore fingerprinting
647    2-prime vs. 3-prime RSA keys was possible by computing N mod 3.
648    This avoids possible fingerprinting of newly generated RSA modules.
649
650    *Bernd Edlinger*
651
652  * Correct the extended master secret constant on EBCDIC systems. Without this
653    fix TLS connections between an EBCDIC system and a non-EBCDIC system that
654    negotiate EMS will fail. Unfortunately this also means that TLS connections
655    between EBCDIC systems with this fix, and EBCDIC systems without this
656    fix will fail if they negotiate EMS.
657
658    *Matt Caswell*
659
660  * Changed the library initialisation so that the config file is now loaded
661    by default. This was already the case for libssl. It now occurs for both
662    libcrypto and libssl. Use the OPENSSL_INIT_NO_LOAD_CONFIG option to
663    OPENSSL_init_crypto() to suppress automatic loading of a config file.
664
665    *Matt Caswell*
666
667  * Introduced new error raising macros, ERR_raise() and ERR_raise_data(),
668    where the former acts as a replacement for ERR_put_error(), and the
669    latter replaces the combination ERR_put_error()+ERR_add_error_data().
670    ERR_raise_data() adds more flexibility by taking a format string and
671    an arbitrary number of arguments following it, to be processed with
672    BIO_snprintf().
673
674    *Richard Levitte*
675
676  * Introduced a new function, OSSL_PROVIDER_available(), which can be used
677    to check if a named provider is loaded and available.  When called, it
678    will also activate all fallback providers if such are still present.
679
680    *Richard Levitte*
681
682  * Enforce a minimum DH modulus size of 512 bits.
683
684    *Bernd Edlinger*
685
686  * Changed DH parameters to generate the order q subgroup instead of 2q.
687    Previously generated DH parameters are still accepted by DH_check
688    but DH_generate_key works around that by clearing bit 0 of the
689    private key for those. This avoids leaking bit 0 of the private key.
690
691    *Bernd Edlinger*
692
693  * Significantly reduce secure memory usage by the randomness pools.
694
695    *Paul Dale*
696
697  * `{CRYPTO,OPENSSL}_mem_debug_{push,pop}` are now no-ops and have been
698    deprecated.
699
700    *Rich Salz*
701
702  * A new type, EVP_KEYEXCH, has been introduced to represent key exchange
703    algorithms. An implementation of a key exchange algorithm can be obtained
704    by using the function EVP_KEYEXCH_fetch(). An EVP_KEYEXCH algorithm can be
705    used in a call to EVP_PKEY_derive_init_ex() which works in a similar way to
706    the older EVP_PKEY_derive_init() function. See the man pages for the new
707    functions for further details.
708
709    *Matt Caswell*
710
711  * The EVP_PKEY_CTX_set_dh_pad() macro has now been converted to a function.
712
713    *Matt Caswell*
714
715  * Removed the function names from error messages and deprecated the
716    xxx_F_xxx define's.
717
718  * Removed NextStep support and the macro OPENSSL_UNISTD
719
720    *Rich Salz*
721
722  * Removed DES_check_key.  Also removed OPENSSL_IMPLEMENT_GLOBAL,
723    OPENSSL_GLOBAL_REF, OPENSSL_DECLARE_GLOBAL.
724    Also removed "export var as function" capability; we do not export
725    variables, only functions.
726
727    *Rich Salz*
728
729  * RC5_32_set_key has been changed to return an int type, with 0 indicating
730    an error and 1 indicating success. In previous versions of OpenSSL this
731    was a void type. If a key was set longer than the maximum possible this
732    would crash.
733
734    *Matt Caswell*
735
736  * Support SM2 signing and verification schemes with X509 certificate.
737
738    *Paul Yang*
739
740  * Use SHA256 as the default digest for TS query in the ts app.
741
742    *Tomas Mraz*
743
744  * Change PBKDF2 to conform to SP800-132 instead of the older PKCS5 RFC2898.
745    This checks that the salt length is at least 128 bits, the derived key
746    length is at least 112 bits, and that the iteration count is at least 1000.
747    For backwards compatibility these checks are disabled by default in the
748    default provider, but are enabled by default in the fips provider.
749    To enable or disable these checks use the control
750    EVP_KDF_CTRL_SET_PBKDF2_PKCS5_MODE.
751
752    *Shane Lontis*
753
754  * Default cipher lists/suites are now available via a function, the
755    #defines are deprecated.
756
757    *Todd Short*
758
759  * Add target VC-WIN32-UWP, VC-WIN64A-UWP, VC-WIN32-ARM-UWP and
760    VC-WIN64-ARM-UWP in Windows OneCore target for making building libraries
761    for Windows Store apps easier. Also, the "no-uplink" option has been added.
762
763    *Kenji Mouri*
764
765  * Join the directories crypto/x509 and crypto/x509v3
766
767    *Richard Levitte*
768
769  * Change the default RSA, DSA and DH size to 2048 bit instead of 1024.
770    This changes the size when using the genpkey app when no size is given. It
771    fixes an omission in earlier changes that changed all RSA, DSA and DH
772    generation apps to use 2048 bits by default.
773
774    *Kurt Roeckx*
775
776  * Added command 'openssl kdf' that uses the EVP_KDF API.
777
778    *Shane Lontis*
779
780  * Added command 'openssl mac' that uses the EVP_MAC API.
781
782    *Shane Lontis*
783
784  * Added OPENSSL_info() to get diverse built-in OpenSSL data, such
785    as default directories.  Also added the command 'openssl info'
786    for scripting purposes.
787
788    *Richard Levitte*
789
790  * The functions AES_ige_encrypt() and AES_bi_ige_encrypt() have been
791    deprecated. These undocumented functions were never integrated into the EVP
792    layer and implement the AES Infinite Garble Extension (IGE) mode and AES
793    Bi-directional IGE mode. These modes were never formally standardised and
794    usage of these functions is believed to be very small. In particular
795    AES_bi_ige_encrypt() has a known bug. It accepts 2 AES keys, but only one
796    is ever used. The security implications are believed to be minimal, but
797    this issue was never fixed for backwards compatibility reasons. New code
798    should not use these modes.
799
800    *Matt Caswell*
801
802  * Add prediction resistance to the DRBG reseeding process.
803
804    *Paul Dale*
805
806  * Limit the number of blocks in a data unit for AES-XTS to 2^20 as
807    mandated by IEEE Std 1619-2018.
808
809    *Paul Dale*
810
811  * Added newline escaping functionality to a filename when using openssl dgst.
812    This output format is to replicate the output format found in the `*sum`
813    checksum programs. This aims to preserve backward compatibility.
814
815    *Matt Eaton, Richard Levitte, and Paul Dale*
816
817  * Removed the heartbeat message in DTLS feature, as it has very
818    little usage and doesn't seem to fulfill a valuable purpose.
819    The configuration option is now deprecated.
820
821    *Richard Levitte*
822
823  * Changed the output of 'openssl {digestname} < file' to display the
824    digest name in its output.
825
826    *Richard Levitte*
827
828  * Added a new generic trace API which provides support for enabling
829    instrumentation through trace output. This feature is mainly intended
830    as an aid for developers and is disabled by default. To utilize it,
831    OpenSSL needs to be configured with the `enable-trace` option.
832
833    If the tracing API is enabled, the application can activate trace output
834    by registering BIOs as trace channels for a number of tracing and debugging
835    categories.
836
837    The 'openssl' application has been expanded to enable any of the types
838    available via environment variables defined by the user, and serves as
839    one possible example on how to use this functionality.
840
841    *Richard Levitte & Matthias St. Pierre*
842
843  * Added build tests for C++.  These are generated files that only do one
844    thing, to include one public OpenSSL head file each.  This tests that
845    the public header files can be usefully included in a C++ application.
846
847    This test isn't enabled by default.  It can be enabled with the option
848    'enable-buildtest-c++'.
849
850    *Richard Levitte*
851
852  * Add Single Step KDF (EVP_KDF_SS) to EVP_KDF.
853
854    *Shane Lontis*
855
856  * Add KMAC to EVP_MAC.
857
858    *Shane Lontis*
859
860  * Added property based algorithm implementation selection framework to
861    the core.
862
863    *Paul Dale*
864
865  * Added SCA hardening for modular field inversion in EC_GROUP through
866    a new dedicated field_inv() pointer in EC_METHOD.
867    This also addresses a leakage affecting conversions from projective
868    to affine coordinates.
869
870    *Billy Bob Brumley, Nicola Tuveri*
871
872  * Added EVP_KDF, an EVP layer KDF API, to simplify adding KDF and PRF
873    implementations.  This includes an EVP_PKEY to EVP_KDF bridge for
874    those algorithms that were already supported through the EVP_PKEY API
875    (scrypt, TLS1 PRF and HKDF).  The low-level KDF functions for PBKDF2
876    and scrypt are now wrappers that call EVP_KDF.
877
878    *David Makepeace*
879
880  * Build devcrypto engine as a dynamic engine.
881
882    *Eneas U de Queiroz*
883
884  * Add keyed BLAKE2 to EVP_MAC.
885
886    *Antoine Salon*
887
888  * Fix a bug in the computation of the endpoint-pair shared secret used
889    by DTLS over SCTP. This breaks interoperability with older versions
890    of OpenSSL like OpenSSL 1.1.0 and OpenSSL 1.0.2. There is a runtime
891    switch SSL_MODE_DTLS_SCTP_LABEL_LENGTH_BUG (off by default) enabling
892    interoperability with such broken implementations. However, enabling
893    this switch breaks interoperability with correct implementations.
894
895  * Fix a use after free bug in d2i_X509_PUBKEY when overwriting a
896    re-used X509_PUBKEY object if the second PUBKEY is malformed.
897
898    *Bernd Edlinger*
899
900  * Move strictness check from EVP_PKEY_asn1_new() to EVP_PKEY_asn1_add0().
901
902    *Richard Levitte*
903
904  * Change the license to the Apache License v2.0.
905
906    *Richard Levitte*
907
908  * Switch to a new version scheme using three numbers MAJOR.MINOR.PATCH.
909
910    - Major releases (indicated by incrementing the MAJOR release number)
911      may introduce incompatible API/ABI changes.
912    - Minor releases (indicated by incrementing the MINOR release number)
913      may introduce new features but retain API/ABI compatibility.
914    - Patch releases (indicated by incrementing the PATCH number)
915      are intended for bug fixes and other improvements of existing
916      features only (like improving performance or adding documentation)
917      and retain API/ABI compatibility.
918
919    *Richard Levitte*
920
921  * Add support for RFC5297 SIV mode (siv128), including AES-SIV.
922
923    *Todd Short*
924
925  * Remove the 'dist' target and add a tarball building script.  The
926    'dist' target has fallen out of use, and it shouldn't be
927    necessary to configure just to create a source distribution.
928
929    *Richard Levitte*
930
931  * Recreate the OS390-Unix config target.  It no longer relies on a
932    special script like it did for OpenSSL pre-1.1.0.
933
934    *Richard Levitte*
935
936  * Instead of having the source directories listed in Configure, add
937    a 'build.info' keyword SUBDIRS to indicate what sub-directories to
938    look into.
939
940    *Richard Levitte*
941
942  * Add GMAC to EVP_MAC.
943
944    *Paul Dale*
945
946  * Ported the HMAC, CMAC and SipHash EVP_PKEY_METHODs to EVP_MAC.
947
948    *Richard Levitte*
949
950  * Added EVP_MAC, an EVP layer MAC API, to simplify adding MAC
951    implementations.  This includes a generic EVP_PKEY to EVP_MAC bridge,
952    to facilitate the continued use of MACs through raw private keys in
953    functionality such as EVP_DigestSign* and EVP_DigestVerify*.
954
955    *Richard Levitte*
956
957  * Deprecate ECDH_KDF_X9_62() and mark its replacement as internal. Users
958    should use the EVP interface instead (EVP_PKEY_CTX_set_ecdh_kdf_type).
959
960    *Antoine Salon*
961
962  * Added EVP_PKEY_ECDH_KDF_X9_63 and ecdh_KDF_X9_63() as replacements for
963    the EVP_PKEY_ECDH_KDF_X9_62 KDF type and ECDH_KDF_X9_62(). The old names
964    are retained for backwards compatibility.
965
966    *Antoine Salon*
967
968  * AES-XTS mode now enforces that its two keys are different to mitigate
969    the attacked described in "Efficient Instantiations of Tweakable
970    Blockciphers and Refinements to Modes OCB and PMAC" by Phillip Rogaway.
971    Details of this attack can be obtained from:
972    <http://web.cs.ucdavis.edu/%7Erogaway/papers/offsets.pdf>
973
974    *Paul Dale*
975
976  * Rename the object files, i.e. give them other names than in previous
977    versions.  Their names now include the name of the final product, as
978    well as its type mnemonic (bin, lib, shlib).
979
980    *Richard Levitte*
981
982  * Added new option for 'openssl list', '-objects', which will display the
983    list of built in objects, i.e. OIDs with names.
984
985    *Richard Levitte*
986
987  * Added support for Linux Kernel TLS data-path. The Linux Kernel data-path
988    improves application performance by removing data copies and providing
989    applications with zero-copy system calls such as sendfile and splice.
990
991    *Boris Pismenny*
992
993 OpenSSL 1.1.1
994 -------------
995
996 ### Changes between 1.1.1e and 1.1.1f [xx XXX xxxx]
997
998 ### Changes between 1.1.1d and 1.1.1e [17 Mar 2020]
999
1000  * Properly detect EOF while reading in libssl. Previously if we hit an EOF
1001    while reading in libssl then we would report an error back to the
1002    application (SSL_ERROR_SYSCALL) but errno would be 0. We now add
1003    an error to the stack (which means we instead return SSL_ERROR_SSL) and
1004    therefore give a hint as to what went wrong.
1005
1006    *Matt Caswell*
1007
1008  * Check that ed25519 and ed448 are allowed by the security level. Previously
1009    signature algorithms not using an MD were not being checked that they were
1010    allowed by the security level.
1011
1012    *Kurt Roeckx*
1013
1014  * Fixed SSL_get_servername() behaviour. The behaviour of SSL_get_servername()
1015    was not quite right. The behaviour was not consistent between resumption
1016    and normal handshakes, and also not quite consistent with historical
1017    behaviour. The behaviour in various scenarios has been clarified and
1018    it has been updated to make it match historical behaviour as closely as
1019    possible.
1020
1021    *Matt Caswell*
1022
1023  * *[VMS only]* The header files that the VMS compilers include automatically,
1024    `__DECC_INCLUDE_PROLOGUE.H` and `__DECC_INCLUDE_EPILOGUE.H`, use pragmas
1025    that the C++ compiler doesn't understand.  This is a shortcoming in the
1026    compiler, but can be worked around with `__cplusplus` guards.
1027
1028    C++ applications that use OpenSSL libraries must be compiled using the
1029    qualifier `/NAMES=(AS_IS,SHORTENED)` to be able to use all the OpenSSL
1030    functions.  Otherwise, only functions with symbols of less than 31
1031    characters can be used, as the linker will not be able to successfully
1032    resolve symbols with longer names.
1033
1034    *Richard Levitte*
1035
1036  * Added a new method to gather entropy on VMS, based on SYS$GET_ENTROPY.
1037    The presence of this system service is determined at run-time.
1038
1039    *Richard Levitte*
1040
1041  * Added newline escaping functionality to a filename when using openssl dgst.
1042    This output format is to replicate the output format found in the `*sum`
1043    checksum programs. This aims to preserve backward compatibility.
1044
1045    *Matt Eaton, Richard Levitte, and Paul Dale*
1046
1047  * Print all values for a PKCS#12 attribute with 'openssl pkcs12', not just
1048    the first value.
1049
1050    *Jon Spillett*
1051
1052 ### Changes between 1.1.1c and 1.1.1d [10 Sep 2019]
1053
1054  * Fixed a fork protection issue. OpenSSL 1.1.1 introduced a rewritten random
1055    number generator (RNG). This was intended to include protection in the
1056    event of a fork() system call in order to ensure that the parent and child
1057    processes did not share the same RNG state. However this protection was not
1058    being used in the default case.
1059
1060    A partial mitigation for this issue is that the output from a high
1061    precision timer is mixed into the RNG state so the likelihood of a parent
1062    and child process sharing state is significantly reduced.
1063
1064    If an application already calls OPENSSL_init_crypto() explicitly using
1065    OPENSSL_INIT_ATFORK then this problem does not occur at all.
1066    [CVE-2019-1549][]
1067
1068    *Matthias St. Pierre*
1069
1070  * For built-in EC curves, ensure an EC_GROUP built from the curve name is
1071    used even when parsing explicit parameters, when loading a serialized key
1072    or calling `EC_GROUP_new_from_ecpkparameters()`/
1073    `EC_GROUP_new_from_ecparameters()`.
1074    This prevents bypass of security hardening and performance gains,
1075    especially for curves with specialized EC_METHODs.
1076    By default, if a key encoded with explicit parameters is loaded and later
1077    serialized, the output is still encoded with explicit parameters, even if
1078    internally a "named" EC_GROUP is used for computation.
1079
1080    *Nicola Tuveri*
1081
1082  * Compute ECC cofactors if not provided during EC_GROUP construction. Before
1083    this change, EC_GROUP_set_generator would accept order and/or cofactor as
1084    NULL. After this change, only the cofactor parameter can be NULL. It also
1085    does some minimal sanity checks on the passed order.
1086    [CVE-2019-1547][]
1087
1088    *Billy Bob Brumley*
1089
1090  * Fixed a padding oracle in PKCS7_dataDecode and CMS_decrypt_set1_pkey.
1091    An attack is simple, if the first CMS_recipientInfo is valid but the
1092    second CMS_recipientInfo is chosen ciphertext. If the second
1093    recipientInfo decodes to PKCS #1 v1.5 form plaintext, the correct
1094    encryption key will be replaced by garbage, and the message cannot be
1095    decoded, but if the RSA decryption fails, the correct encryption key is
1096    used and the recipient will not notice the attack.
1097    As a work around for this potential attack the length of the decrypted
1098    key must be equal to the cipher default key length, in case the
1099    certifiate is not given and all recipientInfo are tried out.
1100    The old behaviour can be re-enabled in the CMS code by setting the
1101    CMS_DEBUG_DECRYPT flag.
1102    [CVE-2019-1563][]
1103
1104    *Bernd Edlinger*
1105
1106  * Early start up entropy quality from the DEVRANDOM seed source has been
1107    improved for older Linux systems.  The RAND subsystem will wait for
1108    /dev/random to be producing output before seeding from /dev/urandom.
1109    The seeded state is stored for future library initialisations using
1110    a system global shared memory segment.  The shared memory identifier
1111    can be configured by defining OPENSSL_RAND_SEED_DEVRANDOM_SHM_ID to
1112    the desired value.  The default identifier is 114.
1113
1114    *Paul Dale*
1115
1116  * Correct the extended master secret constant on EBCDIC systems. Without this
1117    fix TLS connections between an EBCDIC system and a non-EBCDIC system that
1118    negotiate EMS will fail. Unfortunately this also means that TLS connections
1119    between EBCDIC systems with this fix, and EBCDIC systems without this
1120    fix will fail if they negotiate EMS.
1121
1122    *Matt Caswell*
1123
1124  * Use Windows installation paths in the mingw builds
1125
1126    Mingw isn't a POSIX environment per se, which means that Windows
1127    paths should be used for installation.
1128    [CVE-2019-1552][]
1129
1130    *Richard Levitte*
1131
1132  * Changed DH_check to accept parameters with order q and 2q subgroups.
1133    With order 2q subgroups the bit 0 of the private key is not secret
1134    but DH_generate_key works around that by clearing bit 0 of the
1135    private key for those. This avoids leaking bit 0 of the private key.
1136
1137    *Bernd Edlinger*
1138
1139  * Significantly reduce secure memory usage by the randomness pools.
1140
1141    *Paul Dale*
1142
1143  * Revert the DEVRANDOM_WAIT feature for Linux systems
1144
1145    The DEVRANDOM_WAIT feature added a select() call to wait for the
1146    /dev/random device to become readable before reading from the
1147    /dev/urandom device.
1148
1149    It turned out that this change had negative side effects on
1150    performance which were not acceptable. After some discussion it
1151    was decided to revert this feature and leave it up to the OS
1152    resp. the platform maintainer to ensure a proper initialization
1153    during early boot time.
1154
1155    *Matthias St. Pierre*
1156
1157 ### Changes between 1.1.1b and 1.1.1c [28 May 2019]
1158
1159  * Add build tests for C++.  These are generated files that only do one
1160    thing, to include one public OpenSSL head file each.  This tests that
1161    the public header files can be usefully included in a C++ application.
1162
1163    This test isn't enabled by default.  It can be enabled with the option
1164    'enable-buildtest-c++'.
1165
1166    *Richard Levitte*
1167
1168  * Enable SHA3 pre-hashing for ECDSA and DSA.
1169
1170    *Patrick Steuer*
1171
1172  * Change the default RSA, DSA and DH size to 2048 bit instead of 1024.
1173    This changes the size when using the genpkey app when no size is given. It
1174    fixes an omission in earlier changes that changed all RSA, DSA and DH
1175    generation apps to use 2048 bits by default.
1176
1177    *Kurt Roeckx*
1178
1179  * Reorganize the manual pages to consistently have RETURN VALUES,
1180    EXAMPLES, SEE ALSO and HISTORY come in that order, and adjust
1181    util/fix-doc-nits accordingly.
1182
1183    *Paul Yang, Joshua Lock*
1184
1185  * Add the missing accessor EVP_PKEY_get0_engine()
1186
1187    *Matt Caswell*
1188
1189  * Have apps like 's_client' and 's_server' output the signature scheme
1190    along with other cipher suite parameters when debugging.
1191
1192    *Lorinczy Zsigmond*
1193
1194  * Make OPENSSL_config() error agnostic again.
1195
1196    *Richard Levitte*
1197
1198  * Do the error handling in RSA decryption constant time.
1199
1200    *Bernd Edlinger*
1201
1202  * Prevent over long nonces in ChaCha20-Poly1305.
1203
1204    ChaCha20-Poly1305 is an AEAD cipher, and requires a unique nonce input
1205    for every encryption operation. RFC 7539 specifies that the nonce value
1206    (IV) should be 96 bits (12 bytes). OpenSSL allows a variable nonce length
1207    and front pads the nonce with 0 bytes if it is less than 12
1208    bytes. However it also incorrectly allows a nonce to be set of up to 16
1209    bytes. In this case only the last 12 bytes are significant and any
1210    additional leading bytes are ignored.
1211
1212    It is a requirement of using this cipher that nonce values are
1213    unique. Messages encrypted using a reused nonce value are susceptible to
1214    serious confidentiality and integrity attacks. If an application changes
1215    the default nonce length to be longer than 12 bytes and then makes a
1216    change to the leading bytes of the nonce expecting the new value to be a
1217    new unique nonce then such an application could inadvertently encrypt
1218    messages with a reused nonce.
1219
1220    Additionally the ignored bytes in a long nonce are not covered by the
1221    integrity guarantee of this cipher. Any application that relies on the
1222    integrity of these ignored leading bytes of a long nonce may be further
1223    affected. Any OpenSSL internal use of this cipher, including in SSL/TLS,
1224    is safe because no such use sets such a long nonce value. However user
1225    applications that use this cipher directly and set a non-default nonce
1226    length to be longer than 12 bytes may be vulnerable.
1227
1228    This issue was reported to OpenSSL on 16th of March 2019 by Joran Dirk
1229    Greef of Ronomon.
1230    [CVE-2019-1543][]
1231
1232    *Matt Caswell*
1233
1234  * Add DEVRANDOM_WAIT feature for Linux systems
1235
1236    On older Linux systems where the getrandom() system call is not available,
1237    OpenSSL normally uses the /dev/urandom device for seeding its CSPRNG.
1238    Contrary to getrandom(), the /dev/urandom device will not block during
1239    early boot when the kernel CSPRNG has not been seeded yet.
1240
1241    To mitigate this known weakness, use select() to wait for /dev/random to
1242    become readable before reading from /dev/urandom.
1243
1244  * Ensure that SM2 only uses SM3 as digest algorithm
1245
1246    *Paul Yang*
1247
1248 ### Changes between 1.1.1a and 1.1.1b [26 Feb 2019]
1249
1250  * Change the info callback signals for the start and end of a post-handshake
1251    message exchange in TLSv1.3. In 1.1.1/1.1.1a we used SSL_CB_HANDSHAKE_START
1252    and SSL_CB_HANDSHAKE_DONE. Experience has shown that many applications get
1253    confused by this and assume that a TLSv1.2 renegotiation has started. This
1254    can break KeyUpdate handling. Instead we no longer signal the start and end
1255    of a post handshake message exchange (although the messages themselves are
1256    still signalled). This could break some applications that were expecting
1257    the old signals. However without this KeyUpdate is not usable for many
1258    applications.
1259
1260    *Matt Caswell*
1261
1262 ### Changes between 1.1.1 and 1.1.1a [20 Nov 2018]
1263
1264  * Timing vulnerability in DSA signature generation
1265
1266    The OpenSSL DSA signature algorithm has been shown to be vulnerable to a
1267    timing side channel attack. An attacker could use variations in the signing
1268    algorithm to recover the private key.
1269
1270    This issue was reported to OpenSSL on 16th October 2018 by Samuel Weiser.
1271    [CVE-2018-0734][]
1272
1273    *Paul Dale*
1274
1275  * Timing vulnerability in ECDSA signature generation
1276
1277    The OpenSSL ECDSA signature algorithm has been shown to be vulnerable to a
1278    timing side channel attack. An attacker could use variations in the signing
1279    algorithm to recover the private key.
1280
1281    This issue was reported to OpenSSL on 25th October 2018 by Samuel Weiser.
1282    [CVE-2018-0735][]
1283
1284    *Paul Dale*
1285
1286  * Fixed the issue that RAND_add()/RAND_seed() silently discards random input
1287    if its length exceeds 4096 bytes. The limit has been raised to a buffer size
1288    of two gigabytes and the error handling improved.
1289
1290    This issue was reported to OpenSSL by Dr. Falko Strenzke. It has been
1291    categorized as a normal bug, not a security issue, because the DRBG reseeds
1292    automatically and is fully functional even without additional randomness
1293    provided by the application.
1294
1295 ### Changes between 1.1.0i and 1.1.1 [11 Sep 2018]
1296
1297  * Add a new ClientHello callback. Provides a callback interface that gives
1298    the application the ability to adjust the nascent SSL object at the
1299    earliest stage of ClientHello processing, immediately after extensions have
1300    been collected but before they have been processed. In particular, this
1301    callback can adjust the supported TLS versions in response to the contents
1302    of the ClientHello
1303
1304    *Benjamin Kaduk*
1305
1306  * Add SM2 base algorithm support.
1307
1308    *Jack Lloyd*
1309
1310  * s390x assembly pack: add (improved) hardware-support for the following
1311    cryptographic primitives: sha3, shake, aes-gcm, aes-ccm, aes-ctr, aes-ofb,
1312    aes-cfb/cfb8, aes-ecb.
1313
1314    *Patrick Steuer*
1315
1316  * Make EVP_PKEY_asn1_new() a bit stricter about its input.  A NULL pem_str
1317    parameter is no longer accepted, as it leads to a corrupt table.  NULL
1318    pem_str is reserved for alias entries only.
1319
1320    *Richard Levitte*
1321
1322  * Use the new ec_scalar_mul_ladder scaffold to implement a specialized ladder
1323    step for prime curves. The new implementation is based on formulae from
1324    differential addition-and-doubling in homogeneous projective coordinates
1325    from Izu-Takagi "A fast parallel elliptic curve multiplication resistant
1326    against side channel attacks" and Brier-Joye "Weierstrass Elliptic Curves
1327    and Side-Channel Attacks" Eq. (8) for y-coordinate recovery, modified
1328    to work in projective coordinates.
1329
1330    *Billy Bob Brumley, Nicola Tuveri*
1331
1332  * Change generating and checking of primes so that the error rate of not
1333    being prime depends on the intended use based on the size of the input.
1334    For larger primes this will result in more rounds of Miller-Rabin.
1335    The maximal error rate for primes with more than 1080 bits is lowered
1336    to 2^-128.
1337
1338    *Kurt Roeckx, Annie Yousar*
1339
1340  * Increase the number of Miller-Rabin rounds for DSA key generating to 64.
1341
1342    *Kurt Roeckx*
1343
1344  * The 'tsget' script is renamed to 'tsget.pl', to avoid confusion when
1345    moving between systems, and to avoid confusion when a Windows build is
1346    done with mingw vs with MSVC.  For POSIX installs, there's still a
1347    symlink or copy named 'tsget' to avoid that confusion as well.
1348
1349    *Richard Levitte*
1350
1351  * Revert blinding in ECDSA sign and instead make problematic addition
1352    length-invariant. Switch even to fixed-length Montgomery multiplication.
1353
1354    *Andy Polyakov*
1355
1356  * Use the new ec_scalar_mul_ladder scaffold to implement a specialized ladder
1357    step for binary curves. The new implementation is based on formulae from
1358    differential addition-and-doubling in mixed Lopez-Dahab projective
1359    coordinates, modified to independently blind the operands.
1360
1361    *Billy Bob Brumley, Sohaib ul Hassan, Nicola Tuveri*
1362
1363  * Add a scaffold to optionally enhance the Montgomery ladder implementation
1364    for `ec_scalar_mul_ladder` (formerly `ec_mul_consttime`) allowing
1365    EC_METHODs to implement their own specialized "ladder step", to take
1366    advantage of more favorable coordinate systems or more efficient
1367    differential addition-and-doubling algorithms.
1368
1369    *Billy Bob Brumley, Sohaib ul Hassan, Nicola Tuveri*
1370
1371  * Modified the random device based seed sources to keep the relevant
1372    file descriptors open rather than reopening them on each access.
1373    This allows such sources to operate in a chroot() jail without
1374    the associated device nodes being available. This behaviour can be
1375    controlled using RAND_keep_random_devices_open().
1376
1377    *Paul Dale*
1378
1379  * Numerous side-channel attack mitigations have been applied. This may have
1380    performance impacts for some algorithms for the benefit of improved
1381    security. Specific changes are noted in this change log by their respective
1382    authors.
1383
1384    *Matt Caswell*
1385
1386  * AIX shared library support overhaul. Switch to AIX "natural" way of
1387    handling shared libraries, which means collecting shared objects of
1388    different versions and bitnesses in one common archive. This allows to
1389    mitigate conflict between 1.0 and 1.1 side-by-side installations. It
1390    doesn't affect the way 3rd party applications are linked, only how
1391    multi-version installation is managed.
1392
1393    *Andy Polyakov*
1394
1395  * Make ec_group_do_inverse_ord() more robust and available to other
1396    EC cryptosystems, so that irrespective of BN_FLG_CONSTTIME, SCA
1397    mitigations are applied to the fallback BN_mod_inverse().
1398    When using this function rather than BN_mod_inverse() directly, new
1399    EC cryptosystem implementations are then safer-by-default.
1400
1401    *Billy Bob Brumley*
1402
1403  * Add coordinate blinding for EC_POINT and implement projective
1404    coordinate blinding for generic prime curves as a countermeasure to
1405    chosen point SCA attacks.
1406
1407    *Sohaib ul Hassan, Nicola Tuveri, Billy Bob Brumley*
1408
1409  * Add blinding to ECDSA and DSA signatures to protect against side channel
1410    attacks discovered by Keegan Ryan (NCC Group).
1411
1412    *Matt Caswell*
1413
1414  * Enforce checking in the pkeyutl command line app to ensure that the input
1415    length does not exceed the maximum supported digest length when performing
1416    a sign, verify or verifyrecover operation.
1417
1418    *Matt Caswell*
1419
1420  * SSL_MODE_AUTO_RETRY is enabled by default. Applications that use blocking
1421    I/O in combination with something like select() or poll() will hang. This
1422    can be turned off again using SSL_CTX_clear_mode().
1423    Many applications do not properly handle non-application data records, and
1424    TLS 1.3 sends more of such records. Setting SSL_MODE_AUTO_RETRY works
1425    around the problems in those applications, but can also break some.
1426    It's recommended to read the manpages about SSL_read(), SSL_write(),
1427    SSL_get_error(), SSL_shutdown(), SSL_CTX_set_mode() and
1428    SSL_CTX_set_read_ahead() again.
1429
1430    *Kurt Roeckx*
1431
1432  * When unlocking a pass phrase protected PEM file or PKCS#8 container, we
1433    now allow empty (zero character) pass phrases.
1434
1435    *Richard Levitte*
1436
1437  * Apply blinding to binary field modular inversion and remove patent
1438    pending (OPENSSL_SUN_GF2M_DIV) BN_GF2m_mod_div implementation.
1439
1440    *Billy Bob Brumley*
1441
1442  * Deprecate ec2_mult.c and unify scalar multiplication code paths for
1443    binary and prime elliptic curves.
1444
1445    *Billy Bob Brumley*
1446
1447  * Remove ECDSA nonce padding: EC_POINT_mul is now responsible for
1448    constant time fixed point multiplication.
1449
1450    *Billy Bob Brumley*
1451
1452  * Revise elliptic curve scalar multiplication with timing attack
1453    defenses: ec_wNAF_mul redirects to a constant time implementation
1454    when computing fixed point and variable point multiplication (which
1455    in OpenSSL are mostly used with secret scalars in keygen, sign,
1456    ECDH derive operations).
1457    *Billy Bob Brumley, Nicola Tuveri, Cesar Pereida García,
1458     Sohaib ul Hassan*
1459
1460  * Updated CONTRIBUTING
1461
1462    *Rich Salz*
1463
1464  * Updated DRBG / RAND to request nonce and additional low entropy
1465    randomness from the system.
1466
1467    *Matthias St. Pierre*
1468
1469  * Updated 'openssl rehash' to use OpenSSL consistent default.
1470
1471    *Richard Levitte*
1472
1473  * Moved the load of the ssl_conf module to libcrypto, which helps
1474    loading engines that libssl uses before libssl is initialised.
1475
1476    *Matt Caswell*
1477
1478  * Added EVP_PKEY_sign() and EVP_PKEY_verify() for EdDSA
1479
1480    *Matt Caswell*
1481
1482  * Fixed X509_NAME_ENTRY_set to get multi-valued RDNs right in all cases.
1483
1484    *Ingo Schwarze, Rich Salz*
1485
1486  * Added output of accepting IP address and port for 'openssl s_server'
1487
1488    *Richard Levitte*
1489
1490  * Added a new API for TLSv1.3 ciphersuites:
1491       SSL_CTX_set_ciphersuites()
1492       SSL_set_ciphersuites()
1493
1494    *Matt Caswell*
1495
1496  * Memory allocation failures consistently add an error to the error
1497    stack.
1498
1499    *Rich Salz*
1500
1501  * Don't use OPENSSL_ENGINES and OPENSSL_CONF environment values
1502    in libcrypto when run as setuid/setgid.
1503
1504    *Bernd Edlinger*
1505
1506  * Load any config file by default when libssl is used.
1507
1508    *Matt Caswell*
1509
1510  * Added new public header file <openssl/rand_drbg.h> and documentation
1511    for the RAND_DRBG API. See manual page RAND_DRBG(7) for an overview.
1512
1513    *Matthias St. Pierre*
1514
1515  * QNX support removed (cannot find contributors to get their approval
1516    for the license change).
1517
1518    *Rich Salz*
1519
1520  * TLSv1.3 replay protection for early data has been implemented. See the
1521    SSL_read_early_data() man page for further details.
1522
1523    *Matt Caswell*
1524
1525  * Separated TLSv1.3 ciphersuite configuration out from TLSv1.2 ciphersuite
1526    configuration. TLSv1.3 ciphersuites are not compatible with TLSv1.2 and
1527    below. Similarly TLSv1.2 ciphersuites are not compatible with TLSv1.3.
1528    In order to avoid issues where legacy TLSv1.2 ciphersuite configuration
1529    would otherwise inadvertently disable all TLSv1.3 ciphersuites the
1530    configuration has been separated out. See the ciphers man page or the
1531    SSL_CTX_set_ciphersuites() man page for more information.
1532
1533    *Matt Caswell*
1534
1535  * On POSIX (BSD, Linux, ...) systems the ocsp(1) command running
1536    in responder mode now supports the new "-multi" option, which
1537    spawns the specified number of child processes to handle OCSP
1538    requests.  The "-timeout" option now also limits the OCSP
1539    responder's patience to wait to receive the full client request
1540    on a newly accepted connection. Child processes are respawned
1541    as needed, and the CA index file is automatically reloaded
1542    when changed.  This makes it possible to run the "ocsp" responder
1543    as a long-running service, making the OpenSSL CA somewhat more
1544    feature-complete.  In this mode, most diagnostic messages logged
1545    after entering the event loop are logged via syslog(3) rather than
1546    written to stderr.
1547
1548    *Viktor Dukhovni*
1549
1550  * Added support for X448 and Ed448. Heavily based on original work by
1551    Mike Hamburg.
1552
1553    *Matt Caswell*
1554
1555  * Extend OSSL_STORE with capabilities to search and to narrow the set of
1556    objects loaded.  This adds the functions OSSL_STORE_expect() and
1557    OSSL_STORE_find() as well as needed tools to construct searches and
1558    get the search data out of them.
1559
1560    *Richard Levitte*
1561
1562  * Support for TLSv1.3 added. Note that users upgrading from an earlier
1563    version of OpenSSL should review their configuration settings to ensure
1564    that they are still appropriate for TLSv1.3. For further information see:
1565    <https://wiki.openssl.org/index.php/TLS1.3>
1566
1567    *Matt Caswell*
1568
1569  * Grand redesign of the OpenSSL random generator
1570
1571    The default RAND method now utilizes an AES-CTR DRBG according to
1572    NIST standard SP 800-90Ar1. The new random generator is essentially
1573    a port of the default random generator from the OpenSSL FIPS 2.0
1574    object module. It is a hybrid deterministic random bit generator
1575    using an AES-CTR bit stream and which seeds and reseeds itself
1576    automatically using trusted system entropy sources.
1577
1578    Some of its new features are:
1579     - Support for multiple DRBG instances with seed chaining.
1580     - The default RAND method makes use of a DRBG.
1581     - There is a public and private DRBG instance.
1582     - The DRBG instances are fork-safe.
1583     - Keep all global DRBG instances on the secure heap if it is enabled.
1584     - The public and private DRBG instance are per thread for lock free
1585       operation
1586
1587    *Paul Dale, Benjamin Kaduk, Kurt Roeckx, Rich Salz, Matthias St. Pierre*
1588
1589  * Changed Configure so it only says what it does and doesn't dump
1590    so much data.  Instead, ./configdata.pm should be used as a script
1591    to display all sorts of configuration data.
1592
1593    *Richard Levitte*
1594
1595  * Added processing of "make variables" to Configure.
1596
1597    *Richard Levitte*
1598
1599  * Added SHA512/224 and SHA512/256 algorithm support.
1600
1601    *Paul Dale*
1602
1603  * The last traces of Netware support, first removed in 1.1.0, have
1604    now been removed.
1605
1606    *Rich Salz*
1607
1608  * Get rid of Makefile.shared, and in the process, make the processing
1609    of certain files (rc.obj, or the .def/.map/.opt files produced from
1610    the ordinal files) more visible and hopefully easier to trace and
1611    debug (or make silent).
1612
1613    *Richard Levitte*
1614
1615  * Make it possible to have environment variable assignments as
1616    arguments to config / Configure.
1617
1618    *Richard Levitte*
1619
1620  * Add multi-prime RSA (RFC 8017) support.
1621
1622    *Paul Yang*
1623
1624  * Add SM3 implemented according to GB/T 32905-2016
1625    * Jack Lloyd <jack.lloyd@ribose.com>,
1626      Ronald Tse <ronald.tse@ribose.com>,
1627      Erick Borsboom <erick.borsboom@ribose.com> *
1628
1629  * Add 'Maximum Fragment Length' TLS extension negotiation and support
1630    as documented in RFC6066.
1631    Based on a patch from Tomasz Moń
1632
1633    *Filipe Raimundo da Silva*
1634
1635  * Add SM4 implemented according to GB/T 32907-2016.
1636    * Jack Lloyd <jack.lloyd@ribose.com>,
1637      Ronald Tse <ronald.tse@ribose.com>,
1638      Erick Borsboom <erick.borsboom@ribose.com> *
1639
1640  * Reimplement -newreq-nodes and ERR_error_string_n; the
1641    original author does not agree with the license change.
1642
1643    *Rich Salz*
1644
1645  * Add ARIA AEAD TLS support.
1646
1647    *Jon Spillett*
1648
1649  * Some macro definitions to support VS6 have been removed.  Visual
1650    Studio 6 has not worked since 1.1.0
1651
1652    *Rich Salz*
1653
1654  * Add ERR_clear_last_mark(), to allow callers to clear the last mark
1655    without clearing the errors.
1656
1657    *Richard Levitte*
1658
1659  * Add "atfork" functions.  If building on a system that without
1660    pthreads, see doc/man3/OPENSSL_fork_prepare.pod for application
1661    requirements.  The RAND facility now uses/requires this.
1662
1663    *Rich Salz*
1664
1665  * Add SHA3.
1666
1667    *Andy Polyakov*
1668
1669  * The UI API becomes a permanent and integral part of libcrypto, i.e.
1670    not possible to disable entirely.  However, it's still possible to
1671    disable the console reading UI method, UI_OpenSSL() (use UI_null()
1672    as a fallback).
1673
1674    To disable, configure with 'no-ui-console'.  'no-ui' is still
1675    possible to use as an alias.  Check at compile time with the
1676    macro OPENSSL_NO_UI_CONSOLE.  The macro OPENSSL_NO_UI is still
1677    possible to check and is an alias for OPENSSL_NO_UI_CONSOLE.
1678
1679    *Richard Levitte*
1680
1681  * Add a STORE module, which implements a uniform and URI based reader of
1682    stores that can contain keys, certificates, CRLs and numerous other
1683    objects.  The main API is loosely based on a few stdio functions,
1684    and includes OSSL_STORE_open, OSSL_STORE_load, OSSL_STORE_eof,
1685    OSSL_STORE_error and OSSL_STORE_close.
1686    The implementation uses backends called "loaders" to implement arbitrary
1687    URI schemes.  There is one built in "loader" for the 'file' scheme.
1688
1689    *Richard Levitte*
1690
1691  * Add devcrypto engine.  This has been implemented against cryptodev-linux,
1692    then adjusted to work on FreeBSD 8.4 as well.
1693    Enable by configuring with 'enable-devcryptoeng'.  This is done by default
1694    on BSD implementations, as cryptodev.h is assumed to exist on all of them.
1695
1696    *Richard Levitte*
1697
1698  * Module names can prefixed with OSSL_ or OPENSSL_.  This affects
1699    util/mkerr.pl, which is adapted to allow those prefixes, leading to
1700    error code calls like this:
1701
1702            OSSL_FOOerr(OSSL_FOO_F_SOMETHING, OSSL_FOO_R_WHATEVER);
1703
1704    With this change, we claim the namespaces OSSL and OPENSSL in a manner
1705    that can be encoded in C.  For the foreseeable future, this will only
1706    affect new modules.
1707
1708    *Richard Levitte and Tim Hudson*
1709
1710  * Removed BSD cryptodev engine.
1711
1712    *Rich Salz*
1713
1714  * Add a build target 'build_all_generated', to build all generated files
1715    and only that.  This can be used to prepare everything that requires
1716    things like perl for a system that lacks perl and then move everything
1717    to that system and do the rest of the build there.
1718
1719    *Richard Levitte*
1720
1721  * In the UI interface, make it possible to duplicate the user data.  This
1722    can be used by engines that need to retain the data for a longer time
1723    than just the call where this user data is passed.
1724
1725    *Richard Levitte*
1726
1727  * Ignore the '-named_curve auto' value for compatibility of applications
1728    with OpenSSL 1.0.2.
1729
1730    *Tomas Mraz <tmraz@fedoraproject.org>*
1731
1732  * Fragmented SSL/TLS alerts are no longer accepted. An alert message is 2
1733    bytes long. In theory it is permissible in SSLv3 - TLSv1.2 to fragment such
1734    alerts across multiple records (some of which could be empty). In practice
1735    it make no sense to send an empty alert record, or to fragment one. TLSv1.3
1736    prohibits this altogether and other libraries (BoringSSL, NSS) do not
1737    support this at all. Supporting it adds significant complexity to the
1738    record layer, and its removal is unlikely to cause interoperability
1739    issues.
1740
1741    *Matt Caswell*
1742
1743  * Add the ASN.1 types INT32, UINT32, INT64, UINT64 and variants prefixed
1744    with Z.  These are meant to replace LONG and ZLONG and to be size safe.
1745    The use of LONG and ZLONG is discouraged and scheduled for deprecation
1746    in OpenSSL 1.2.0.
1747
1748    *Richard Levitte*
1749
1750  * Add the 'z' and 'j' modifiers to BIO_printf() et al formatting string,
1751    'z' is to be used for [s]size_t, and 'j' - with [u]int64_t.
1752
1753    *Richard Levitte, Andy Polyakov*
1754
1755  * Add EC_KEY_get0_engine(), which does for EC_KEY what RSA_get0_engine()
1756    does for RSA, etc.
1757
1758    *Richard Levitte*
1759
1760  * Have 'config' recognise 64-bit mingw and choose 'mingw64' as the target
1761    platform rather than 'mingw'.
1762
1763    *Richard Levitte*
1764
1765  * The functions X509_STORE_add_cert and X509_STORE_add_crl return
1766    success if they are asked to add an object which already exists
1767    in the store. This change cascades to other functions which load
1768    certificates and CRLs.
1769
1770    *Paul Dale*
1771
1772  * x86_64 assembly pack: annotate code with DWARF CFI directives to
1773    facilitate stack unwinding even from assembly subroutines.
1774
1775    *Andy Polyakov*
1776
1777  * Remove VAX C specific definitions of OPENSSL_EXPORT, OPENSSL_EXTERN.
1778    Also remove OPENSSL_GLOBAL entirely, as it became a no-op.
1779
1780    *Richard Levitte*
1781
1782  * Remove the VMS-specific reimplementation of gmtime from crypto/o_times.c.
1783    VMS C's RTL has a fully up to date gmtime() and gmtime_r() since V7.1,
1784    which is the minimum version we support.
1785
1786    *Richard Levitte*
1787
1788  * Certificate time validation (X509_cmp_time) enforces stricter
1789    compliance with RFC 5280. Fractional seconds and timezone offsets
1790    are no longer allowed.
1791
1792    *Emilia Käsper*
1793
1794  * Add support for ARIA
1795
1796    *Paul Dale*
1797
1798  * s_client will now send the Server Name Indication (SNI) extension by
1799    default unless the new "-noservername" option is used. The server name is
1800    based on the host provided to the "-connect" option unless overridden by
1801    using "-servername".
1802
1803    *Matt Caswell*
1804
1805  * Add support for SipHash
1806
1807    *Todd Short*
1808
1809  * OpenSSL now fails if it receives an unrecognised record type in TLS1.0
1810    or TLS1.1. Previously this only happened in SSLv3 and TLS1.2. This is to
1811    prevent issues where no progress is being made and the peer continually
1812    sends unrecognised record types, using up resources processing them.
1813
1814    *Matt Caswell*
1815
1816  * 'openssl passwd' can now produce SHA256 and SHA512 based output,
1817    using the algorithm defined in
1818    <https://www.akkadia.org/drepper/SHA-crypt.txt>
1819
1820    *Richard Levitte*
1821
1822  * Heartbeat support has been removed; the ABI is changed for now.
1823
1824    *Richard Levitte, Rich Salz*
1825
1826  * Support for SSL_OP_NO_ENCRYPT_THEN_MAC in SSL_CONF_cmd.
1827
1828    *Emilia Käsper*
1829
1830  * The RSA "null" method, which was partially supported to avoid patent
1831    issues, has been replaced to always returns NULL.
1832
1833    *Rich Salz*
1834
1835 OpenSSL 1.1.0
1836 -------------
1837
1838 ### Changes between 1.1.0k and 1.1.0l [10 Sep 2019]
1839
1840  * For built-in EC curves, ensure an EC_GROUP built from the curve name is
1841    used even when parsing explicit parameters, when loading a serialized key
1842    or calling `EC_GROUP_new_from_ecpkparameters()`/
1843    `EC_GROUP_new_from_ecparameters()`.
1844    This prevents bypass of security hardening and performance gains,
1845    especially for curves with specialized EC_METHODs.
1846    By default, if a key encoded with explicit parameters is loaded and later
1847    serialized, the output is still encoded with explicit parameters, even if
1848    internally a "named" EC_GROUP is used for computation.
1849
1850    *Nicola Tuveri*
1851
1852  * Compute ECC cofactors if not provided during EC_GROUP construction. Before
1853    this change, EC_GROUP_set_generator would accept order and/or cofactor as
1854    NULL. After this change, only the cofactor parameter can be NULL. It also
1855    does some minimal sanity checks on the passed order.
1856    [CVE-2019-1547][]
1857
1858    *Billy Bob Brumley*
1859
1860  * Fixed a padding oracle in PKCS7_dataDecode and CMS_decrypt_set1_pkey.
1861    An attack is simple, if the first CMS_recipientInfo is valid but the
1862    second CMS_recipientInfo is chosen ciphertext. If the second
1863    recipientInfo decodes to PKCS #1 v1.5 form plaintext, the correct
1864    encryption key will be replaced by garbage, and the message cannot be
1865    decoded, but if the RSA decryption fails, the correct encryption key is
1866    used and the recipient will not notice the attack.
1867    As a work around for this potential attack the length of the decrypted
1868    key must be equal to the cipher default key length, in case the
1869    certifiate is not given and all recipientInfo are tried out.
1870    The old behaviour can be re-enabled in the CMS code by setting the
1871    CMS_DEBUG_DECRYPT flag.
1872    [CVE-2019-1563][]
1873
1874    *Bernd Edlinger*
1875
1876  * Use Windows installation paths in the mingw builds
1877
1878    Mingw isn't a POSIX environment per se, which means that Windows
1879    paths should be used for installation.
1880    [CVE-2019-1552][]
1881
1882    *Richard Levitte*
1883
1884 ### Changes between 1.1.0j and 1.1.0k [28 May 2019]
1885
1886  * Change the default RSA, DSA and DH size to 2048 bit instead of 1024.
1887    This changes the size when using the genpkey app when no size is given. It
1888    fixes an omission in earlier changes that changed all RSA, DSA and DH
1889    generation apps to use 2048 bits by default.
1890
1891    *Kurt Roeckx*
1892
1893  * Prevent over long nonces in ChaCha20-Poly1305.
1894
1895    ChaCha20-Poly1305 is an AEAD cipher, and requires a unique nonce input
1896    for every encryption operation. RFC 7539 specifies that the nonce value
1897    (IV) should be 96 bits (12 bytes). OpenSSL allows a variable nonce length
1898    and front pads the nonce with 0 bytes if it is less than 12
1899    bytes. However it also incorrectly allows a nonce to be set of up to 16
1900    bytes. In this case only the last 12 bytes are significant and any
1901    additional leading bytes are ignored.
1902
1903    It is a requirement of using this cipher that nonce values are
1904    unique. Messages encrypted using a reused nonce value are susceptible to
1905    serious confidentiality and integrity attacks. If an application changes
1906    the default nonce length to be longer than 12 bytes and then makes a
1907    change to the leading bytes of the nonce expecting the new value to be a
1908    new unique nonce then such an application could inadvertently encrypt
1909    messages with a reused nonce.
1910
1911    Additionally the ignored bytes in a long nonce are not covered by the
1912    integrity guarantee of this cipher. Any application that relies on the
1913    integrity of these ignored leading bytes of a long nonce may be further
1914    affected. Any OpenSSL internal use of this cipher, including in SSL/TLS,
1915    is safe because no such use sets such a long nonce value. However user
1916    applications that use this cipher directly and set a non-default nonce
1917    length to be longer than 12 bytes may be vulnerable.
1918
1919    This issue was reported to OpenSSL on 16th of March 2019 by Joran Dirk
1920    Greef of Ronomon.
1921    [CVE-2019-1543][]
1922
1923    *Matt Caswell*
1924
1925  * Added SCA hardening for modular field inversion in EC_GROUP through
1926    a new dedicated field_inv() pointer in EC_METHOD.
1927    This also addresses a leakage affecting conversions from projective
1928    to affine coordinates.
1929
1930    *Billy Bob Brumley, Nicola Tuveri*
1931
1932  * Fix a use after free bug in d2i_X509_PUBKEY when overwriting a
1933    re-used X509_PUBKEY object if the second PUBKEY is malformed.
1934
1935    *Bernd Edlinger*
1936
1937  * Move strictness check from EVP_PKEY_asn1_new() to EVP_PKEY_asn1_add0().
1938
1939    *Richard Levitte*
1940
1941  * Remove the 'dist' target and add a tarball building script.  The
1942    'dist' target has fallen out of use, and it shouldn't be
1943    necessary to configure just to create a source distribution.
1944
1945    *Richard Levitte*
1946
1947 ### Changes between 1.1.0i and 1.1.0j [20 Nov 2018]
1948
1949  * Timing vulnerability in DSA signature generation
1950
1951    The OpenSSL DSA signature algorithm has been shown to be vulnerable to a
1952    timing side channel attack. An attacker could use variations in the signing
1953    algorithm to recover the private key.
1954
1955    This issue was reported to OpenSSL on 16th October 2018 by Samuel Weiser.
1956    [CVE-2018-0734][]
1957
1958    *Paul Dale*
1959
1960  * Timing vulnerability in ECDSA signature generation
1961
1962    The OpenSSL ECDSA signature algorithm has been shown to be vulnerable to a
1963    timing side channel attack. An attacker could use variations in the signing
1964    algorithm to recover the private key.
1965
1966    This issue was reported to OpenSSL on 25th October 2018 by Samuel Weiser.
1967    [CVE-2018-0735][]
1968
1969    *Paul Dale*
1970
1971  * Add coordinate blinding for EC_POINT and implement projective
1972    coordinate blinding for generic prime curves as a countermeasure to
1973    chosen point SCA attacks.
1974
1975    *Sohaib ul Hassan, Nicola Tuveri, Billy Bob Brumley*
1976
1977 ### Changes between 1.1.0h and 1.1.0i [14 Aug 2018]
1978
1979  * Client DoS due to large DH parameter
1980
1981    During key agreement in a TLS handshake using a DH(E) based ciphersuite a
1982    malicious server can send a very large prime value to the client. This will
1983    cause the client to spend an unreasonably long period of time generating a
1984    key for this prime resulting in a hang until the client has finished. This
1985    could be exploited in a Denial Of Service attack.
1986
1987    This issue was reported to OpenSSL on 5th June 2018 by Guido Vranken
1988    [CVE-2018-0732][]
1989
1990    *Guido Vranken*
1991
1992  * Cache timing vulnerability in RSA Key Generation
1993
1994    The OpenSSL RSA Key generation algorithm has been shown to be vulnerable to
1995    a cache timing side channel attack. An attacker with sufficient access to
1996    mount cache timing attacks during the RSA key generation process could
1997    recover the private key.
1998
1999    This issue was reported to OpenSSL on 4th April 2018 by Alejandro Cabrera
2000    Aldaya, Billy Brumley, Cesar Pereida Garcia and Luis Manuel Alvarez Tapia.
2001    [CVE-2018-0737][]
2002
2003    *Billy Brumley*
2004
2005  * Make EVP_PKEY_asn1_new() a bit stricter about its input.  A NULL pem_str
2006    parameter is no longer accepted, as it leads to a corrupt table.  NULL
2007    pem_str is reserved for alias entries only.
2008
2009    *Richard Levitte*
2010
2011  * Revert blinding in ECDSA sign and instead make problematic addition
2012    length-invariant. Switch even to fixed-length Montgomery multiplication.
2013
2014    *Andy Polyakov*
2015
2016  * Change generating and checking of primes so that the error rate of not
2017    being prime depends on the intended use based on the size of the input.
2018    For larger primes this will result in more rounds of Miller-Rabin.
2019    The maximal error rate for primes with more than 1080 bits is lowered
2020    to 2^-128.
2021
2022    *Kurt Roeckx, Annie Yousar*
2023
2024  * Increase the number of Miller-Rabin rounds for DSA key generating to 64.
2025
2026    *Kurt Roeckx*
2027
2028  * Add blinding to ECDSA and DSA signatures to protect against side channel
2029    attacks discovered by Keegan Ryan (NCC Group).
2030
2031    *Matt Caswell*
2032
2033  * When unlocking a pass phrase protected PEM file or PKCS#8 container, we
2034    now allow empty (zero character) pass phrases.
2035
2036    *Richard Levitte*
2037
2038  * Certificate time validation (X509_cmp_time) enforces stricter
2039    compliance with RFC 5280. Fractional seconds and timezone offsets
2040    are no longer allowed.
2041
2042    *Emilia Käsper*
2043
2044  * Fixed a text canonicalisation bug in CMS
2045
2046    Where a CMS detached signature is used with text content the text goes
2047    through a canonicalisation process first prior to signing or verifying a
2048    signature. This process strips trailing space at the end of lines, converts
2049    line terminators to CRLF and removes additional trailing line terminators
2050    at the end of a file. A bug in the canonicalisation process meant that
2051    some characters, such as form-feed, were incorrectly treated as whitespace
2052    and removed. This is contrary to the specification (RFC5485). This fix
2053    could mean that detached text data signed with an earlier version of
2054    OpenSSL 1.1.0 may fail to verify using the fixed version, or text data
2055    signed with a fixed OpenSSL may fail to verify with an earlier version of
2056    OpenSSL 1.1.0. A workaround is to only verify the canonicalised text data
2057    and use the "-binary" flag (for the "cms" command line application) or set
2058    the SMIME_BINARY/PKCS7_BINARY/CMS_BINARY flags (if using CMS_verify()).
2059
2060    *Matt Caswell*
2061
2062 ### Changes between 1.1.0g and 1.1.0h [27 Mar 2018]
2063
2064  * Constructed ASN.1 types with a recursive definition could exceed the stack
2065
2066    Constructed ASN.1 types with a recursive definition (such as can be found
2067    in PKCS7) could eventually exceed the stack given malicious input with
2068    excessive recursion. This could result in a Denial Of Service attack. There
2069    are no such structures used within SSL/TLS that come from untrusted sources
2070    so this is considered safe.
2071
2072    This issue was reported to OpenSSL on 4th January 2018 by the OSS-fuzz
2073    project.
2074    [CVE-2018-0739][]
2075
2076    *Matt Caswell*
2077
2078  * Incorrect CRYPTO_memcmp on HP-UX PA-RISC
2079
2080    Because of an implementation bug the PA-RISC CRYPTO_memcmp function is
2081    effectively reduced to only comparing the least significant bit of each
2082    byte. This allows an attacker to forge messages that would be considered as
2083    authenticated in an amount of tries lower than that guaranteed by the
2084    security claims of the scheme. The module can only be compiled by the
2085    HP-UX assembler, so that only HP-UX PA-RISC targets are affected.
2086
2087    This issue was reported to OpenSSL on 2nd March 2018 by Peter Waltenberg
2088    (IBM).
2089    [CVE-2018-0733][]
2090
2091    *Andy Polyakov*
2092
2093  * Add a build target 'build_all_generated', to build all generated files
2094    and only that.  This can be used to prepare everything that requires
2095    things like perl for a system that lacks perl and then move everything
2096    to that system and do the rest of the build there.
2097
2098    *Richard Levitte*
2099
2100  * Backport SSL_OP_NO_RENGOTIATION
2101
2102    OpenSSL 1.0.2 and below had the ability to disable renegotiation using the
2103    (undocumented) SSL3_FLAGS_NO_RENEGOTIATE_CIPHERS flag. Due to the opacity
2104    changes this is no longer possible in 1.1.0. Therefore the new
2105    SSL_OP_NO_RENEGOTIATION option from 1.1.1-dev has been backported to
2106    1.1.0 to provide equivalent functionality.
2107
2108    Note that if an application built against 1.1.0h headers (or above) is run
2109    using an older version of 1.1.0 (prior to 1.1.0h) then the option will be
2110    accepted but nothing will happen, i.e. renegotiation will not be prevented.
2111
2112    *Matt Caswell*
2113
2114  * Removed the OS390-Unix config target.  It relied on a script that doesn't
2115    exist.
2116
2117    *Rich Salz*
2118
2119  * rsaz_1024_mul_avx2 overflow bug on x86_64
2120
2121    There is an overflow bug in the AVX2 Montgomery multiplication procedure
2122    used in exponentiation with 1024-bit moduli. No EC algorithms are affected.
2123    Analysis suggests that attacks against RSA and DSA as a result of this
2124    defect would be very difficult to perform and are not believed likely.
2125    Attacks against DH1024 are considered just feasible, because most of the
2126    work necessary to deduce information about a private key may be performed
2127    offline. The amount of resources required for such an attack would be
2128    significant. However, for an attack on TLS to be meaningful, the server
2129    would have to share the DH1024 private key among multiple clients, which is
2130    no longer an option since CVE-2016-0701.
2131
2132    This only affects processors that support the AVX2 but not ADX extensions
2133    like Intel Haswell (4th generation).
2134
2135    This issue was reported to OpenSSL by David Benjamin (Google). The issue
2136    was originally found via the OSS-Fuzz project.
2137    [CVE-2017-3738][]
2138
2139    *Andy Polyakov*
2140
2141 ### Changes between 1.1.0f and 1.1.0g [2 Nov 2017]
2142
2143  * bn_sqrx8x_internal carry bug on x86_64
2144
2145    There is a carry propagating bug in the x86_64 Montgomery squaring
2146    procedure. No EC algorithms are affected. Analysis suggests that attacks
2147    against RSA and DSA as a result of this defect would be very difficult to
2148    perform and are not believed likely. Attacks against DH are considered just
2149    feasible (although very difficult) because most of the work necessary to
2150    deduce information about a private key may be performed offline. The amount
2151    of resources required for such an attack would be very significant and
2152    likely only accessible to a limited number of attackers. An attacker would
2153    additionally need online access to an unpatched system using the target
2154    private key in a scenario with persistent DH parameters and a private
2155    key that is shared between multiple clients.
2156
2157    This only affects processors that support the BMI1, BMI2 and ADX extensions
2158    like Intel Broadwell (5th generation) and later or AMD Ryzen.
2159
2160    This issue was reported to OpenSSL by the OSS-Fuzz project.
2161    [CVE-2017-3736][]
2162
2163    *Andy Polyakov*
2164
2165  * Malformed X.509 IPAddressFamily could cause OOB read
2166
2167    If an X.509 certificate has a malformed IPAddressFamily extension,
2168    OpenSSL could do a one-byte buffer overread. The most likely result
2169    would be an erroneous display of the certificate in text format.
2170
2171    This issue was reported to OpenSSL by the OSS-Fuzz project.
2172    [CVE-2017-3735][]
2173
2174    *Rich Salz*
2175
2176 ### Changes between 1.1.0e and 1.1.0f [25 May 2017]
2177
2178  * Have 'config' recognise 64-bit mingw and choose 'mingw64' as the target
2179    platform rather than 'mingw'.
2180
2181    *Richard Levitte*
2182
2183  * Remove the VMS-specific reimplementation of gmtime from crypto/o_times.c.
2184    VMS C's RTL has a fully up to date gmtime() and gmtime_r() since V7.1,
2185    which is the minimum version we support.
2186
2187    *Richard Levitte*
2188
2189 ### Changes between 1.1.0d and 1.1.0e [16 Feb 2017]
2190
2191  * Encrypt-Then-Mac renegotiation crash
2192
2193    During a renegotiation handshake if the Encrypt-Then-Mac extension is
2194    negotiated where it was not in the original handshake (or vice-versa) then
2195    this can cause OpenSSL to crash (dependant on ciphersuite). Both clients
2196    and servers are affected.
2197
2198    This issue was reported to OpenSSL by Joe Orton (Red Hat).
2199    [CVE-2017-3733][]
2200
2201    *Matt Caswell*
2202
2203 ### Changes between 1.1.0c and 1.1.0d [26 Jan 2017]
2204
2205  * Truncated packet could crash via OOB read
2206
2207    If one side of an SSL/TLS path is running on a 32-bit host and a specific
2208    cipher is being used, then a truncated packet can cause that host to
2209    perform an out-of-bounds read, usually resulting in a crash.
2210
2211    This issue was reported to OpenSSL by Robert Święcki of Google.
2212    [CVE-2017-3731][]
2213
2214    *Andy Polyakov*
2215
2216  * Bad (EC)DHE parameters cause a client crash
2217
2218    If a malicious server supplies bad parameters for a DHE or ECDHE key
2219    exchange then this can result in the client attempting to dereference a
2220    NULL pointer leading to a client crash. This could be exploited in a Denial
2221    of Service attack.
2222
2223    This issue was reported to OpenSSL by Guido Vranken.
2224    [CVE-2017-3730][]
2225
2226    *Matt Caswell*
2227
2228  * BN_mod_exp may produce incorrect results on x86_64
2229
2230    There is a carry propagating bug in the x86_64 Montgomery squaring
2231    procedure. No EC algorithms are affected. Analysis suggests that attacks
2232    against RSA and DSA as a result of this defect would be very difficult to
2233    perform and are not believed likely. Attacks against DH are considered just
2234    feasible (although very difficult) because most of the work necessary to
2235    deduce information about a private key may be performed offline. The amount
2236    of resources required for such an attack would be very significant and
2237    likely only accessible to a limited number of attackers. An attacker would
2238    additionally need online access to an unpatched system using the target
2239    private key in a scenario with persistent DH parameters and a private
2240    key that is shared between multiple clients. For example this can occur by
2241    default in OpenSSL DHE based SSL/TLS ciphersuites. Note: This issue is very
2242    similar to CVE-2015-3193 but must be treated as a separate problem.
2243
2244    This issue was reported to OpenSSL by the OSS-Fuzz project.
2245    [CVE-2017-3732][]
2246
2247    *Andy Polyakov*
2248
2249 ### Changes between 1.1.0b and 1.1.0c [10 Nov 2016]
2250
2251  * ChaCha20/Poly1305 heap-buffer-overflow
2252
2253    TLS connections using `*-CHACHA20-POLY1305` ciphersuites are susceptible to
2254    a DoS attack by corrupting larger payloads. This can result in an OpenSSL
2255    crash. This issue is not considered to be exploitable beyond a DoS.
2256
2257    This issue was reported to OpenSSL by Robert Święcki (Google Security Team)
2258    [CVE-2016-7054][]
2259
2260    *Richard Levitte*
2261
2262  * CMS Null dereference
2263
2264    Applications parsing invalid CMS structures can crash with a NULL pointer
2265    dereference. This is caused by a bug in the handling of the ASN.1 CHOICE
2266    type in OpenSSL 1.1.0 which can result in a NULL value being passed to the
2267    structure callback if an attempt is made to free certain invalid encodings.
2268    Only CHOICE structures using a callback which do not handle NULL value are
2269    affected.
2270
2271    This issue was reported to OpenSSL by Tyler Nighswander of ForAllSecure.
2272    [CVE-2016-7053][]
2273
2274    *Stephen Henson*
2275
2276  * Montgomery multiplication may produce incorrect results
2277
2278    There is a carry propagating bug in the Broadwell-specific Montgomery
2279    multiplication procedure that handles input lengths divisible by, but
2280    longer than 256 bits. Analysis suggests that attacks against RSA, DSA
2281    and DH private keys are impossible. This is because the subroutine in
2282    question is not used in operations with the private key itself and an input
2283    of the attacker's direct choice. Otherwise the bug can manifest itself as
2284    transient authentication and key negotiation failures or reproducible
2285    erroneous outcome of public-key operations with specially crafted input.
2286    Among EC algorithms only Brainpool P-512 curves are affected and one
2287    presumably can attack ECDH key negotiation. Impact was not analyzed in
2288    detail, because pre-requisites for attack are considered unlikely. Namely
2289    multiple clients have to choose the curve in question and the server has to
2290    share the private key among them, neither of which is default behaviour.
2291    Even then only clients that chose the curve will be affected.
2292
2293    This issue was publicly reported as transient failures and was not
2294    initially recognized as a security issue. Thanks to Richard Morgan for
2295    providing reproducible case.
2296    [CVE-2016-7055][]
2297
2298    *Andy Polyakov*
2299
2300  * Removed automatic addition of RPATH in shared libraries and executables,
2301    as this was a remainder from OpenSSL 1.0.x and isn't needed any more.
2302
2303    *Richard Levitte*
2304
2305 ### Changes between 1.1.0a and 1.1.0b [26 Sep 2016]
2306
2307  * Fix Use After Free for large message sizes
2308
2309    The patch applied to address CVE-2016-6307 resulted in an issue where if a
2310    message larger than approx 16k is received then the underlying buffer to
2311    store the incoming message is reallocated and moved. Unfortunately a
2312    dangling pointer to the old location is left which results in an attempt to
2313    write to the previously freed location. This is likely to result in a
2314    crash, however it could potentially lead to execution of arbitrary code.
2315
2316    This issue only affects OpenSSL 1.1.0a.
2317
2318    This issue was reported to OpenSSL by Robert Święcki.
2319    [CVE-2016-6309][]
2320
2321    *Matt Caswell*
2322
2323 ### Changes between 1.1.0 and 1.1.0a [22 Sep 2016]
2324
2325  * OCSP Status Request extension unbounded memory growth
2326
2327    A malicious client can send an excessively large OCSP Status Request
2328    extension. If that client continually requests renegotiation, sending a
2329    large OCSP Status Request extension each time, then there will be unbounded
2330    memory growth on the server. This will eventually lead to a Denial Of
2331    Service attack through memory exhaustion. Servers with a default
2332    configuration are vulnerable even if they do not support OCSP. Builds using
2333    the "no-ocsp" build time option are not affected.
2334
2335    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
2336    [CVE-2016-6304][]
2337
2338    *Matt Caswell*
2339
2340  * SSL_peek() hang on empty record
2341
2342    OpenSSL 1.1.0 SSL/TLS will hang during a call to SSL_peek() if the peer
2343    sends an empty record. This could be exploited by a malicious peer in a
2344    Denial Of Service attack.
2345
2346    This issue was reported to OpenSSL by Alex Gaynor.
2347    [CVE-2016-6305][]
2348
2349    *Matt Caswell*
2350
2351  * Excessive allocation of memory in tls_get_message_header() and
2352    dtls1_preprocess_fragment()
2353
2354    A (D)TLS message includes 3 bytes for its length in the header for the
2355    message. This would allow for messages up to 16Mb in length. Messages of
2356    this length are excessive and OpenSSL includes a check to ensure that a
2357    peer is sending reasonably sized messages in order to avoid too much memory
2358    being consumed to service a connection. A flaw in the logic of version
2359    1.1.0 means that memory for the message is allocated too early, prior to
2360    the excessive message length check. Due to way memory is allocated in
2361    OpenSSL this could mean an attacker could force up to 21Mb to be allocated
2362    to service a connection. This could lead to a Denial of Service through
2363    memory exhaustion. However, the excessive message length check still takes
2364    place, and this would cause the connection to immediately fail. Assuming
2365    that the application calls SSL_free() on the failed connection in a timely
2366    manner then the 21Mb of allocated memory will then be immediately freed
2367    again. Therefore the excessive memory allocation will be transitory in
2368    nature. This then means that there is only a security impact if:
2369
2370    1) The application does not call SSL_free() in a timely manner in the event
2371    that the connection fails
2372    or
2373    2) The application is working in a constrained environment where there is
2374    very little free memory
2375    or
2376    3) The attacker initiates multiple connection attempts such that there are
2377    multiple connections in a state where memory has been allocated for the
2378    connection; SSL_free() has not yet been called; and there is insufficient
2379    memory to service the multiple requests.
2380
2381    Except in the instance of (1) above any Denial Of Service is likely to be
2382    transitory because as soon as the connection fails the memory is
2383    subsequently freed again in the SSL_free() call. However there is an
2384    increased risk during this period of application crashes due to the lack of
2385    memory - which would then mean a more serious Denial of Service.
2386
2387    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
2388    (CVE-2016-6307 and CVE-2016-6308)
2389
2390    *Matt Caswell*
2391
2392  * solaris-x86-cc, i.e. 32-bit configuration with vendor compiler,
2393    had to be removed. Primary reason is that vendor assembler can't
2394    assemble our modules with -KPIC flag. As result it, assembly
2395    support, was not even available as option. But its lack means
2396    lack of side-channel resistant code, which is incompatible with
2397    security by todays standards. Fortunately gcc is readily available
2398    prepackaged option, which we firmly point at...
2399
2400    *Andy Polyakov*
2401
2402 ### Changes between 1.0.2h and 1.1.0  [25 Aug 2016]
2403
2404  * Windows command-line tool supports UTF-8 opt-in option for arguments
2405    and console input. Setting OPENSSL_WIN32_UTF8 environment variable
2406    (to any value) allows Windows user to access PKCS#12 file generated
2407    with Windows CryptoAPI and protected with non-ASCII password, as well
2408    as files generated under UTF-8 locale on Linux also protected with
2409    non-ASCII password.
2410
2411    *Andy Polyakov*
2412
2413  * To mitigate the SWEET32 attack [CVE-2016-2183][], 3DES cipher suites
2414    have been disabled by default and removed from DEFAULT, just like RC4.
2415    See the RC4 item below to re-enable both.
2416
2417    *Rich Salz*
2418
2419  * The method for finding the storage location for the Windows RAND seed file
2420    has changed. First we check %RANDFILE%. If that is not set then we check
2421    the directories %HOME%, %USERPROFILE% and %SYSTEMROOT% in that order. If
2422    all else fails we fall back to C:\.
2423
2424    *Matt Caswell*
2425
2426  * The EVP_EncryptUpdate() function has had its return type changed from void
2427    to int. A return of 0 indicates and error while a return of 1 indicates
2428    success.
2429
2430    *Matt Caswell*
2431
2432  * The flags RSA_FLAG_NO_CONSTTIME, DSA_FLAG_NO_EXP_CONSTTIME and
2433    DH_FLAG_NO_EXP_CONSTTIME which previously provided the ability to switch
2434    off the constant time implementation for RSA, DSA and DH have been made
2435    no-ops and deprecated.
2436
2437    *Matt Caswell*
2438
2439  * Windows RAND implementation was simplified to only get entropy by
2440    calling CryptGenRandom(). Various other RAND-related tickets
2441    were also closed.
2442
2443    *Joseph Wylie Yandle, Rich Salz*
2444
2445  * The stack and lhash API's were renamed to start with `OPENSSL_SK_`
2446    and `OPENSSL_LH_`, respectively.  The old names are available
2447    with API compatibility.  They new names are now completely documented.
2448
2449    *Rich Salz*
2450
2451  * Unify TYPE_up_ref(obj) methods signature.
2452    SSL_CTX_up_ref(), SSL_up_ref(), X509_up_ref(), EVP_PKEY_up_ref(),
2453    X509_CRL_up_ref(), X509_OBJECT_up_ref_count() methods are now returning an
2454    int (instead of void) like all others TYPE_up_ref() methods.
2455    So now these methods also check the return value of CRYPTO_atomic_add(),
2456    and the validity of object reference counter.
2457
2458    *fdasilvayy@gmail.com*
2459
2460  * With Windows Visual Studio builds, the .pdb files are installed
2461    alongside the installed libraries and executables.  For a static
2462    library installation, ossl_static.pdb is the associate compiler
2463    generated .pdb file to be used when linking programs.
2464
2465    *Richard Levitte*
2466
2467  * Remove openssl.spec.  Packaging files belong with the packagers.
2468
2469    *Richard Levitte*
2470
2471  * Automatic Darwin/OSX configuration has had a refresh, it will now
2472    recognise x86_64 architectures automatically.  You can still decide
2473    to build for a different bitness with the environment variable
2474    KERNEL_BITS (can be 32 or 64), for example:
2475
2476            KERNEL_BITS=32 ./config
2477
2478    *Richard Levitte*
2479
2480  * Change default algorithms in pkcs8 utility to use PKCS#5 v2.0,
2481    256 bit AES and HMAC with SHA256.
2482
2483    *Steve Henson*
2484
2485  * Remove support for MIPS o32 ABI on IRIX (and IRIX only).
2486
2487    *Andy Polyakov*
2488
2489  * Triple-DES ciphers have been moved from HIGH to MEDIUM.
2490
2491    *Rich Salz*
2492
2493  * To enable users to have their own config files and build file templates,
2494    Configure looks in the directory indicated by the environment variable
2495    OPENSSL_LOCAL_CONFIG_DIR as well as the in-source Configurations/
2496    directory.  On VMS, OPENSSL_LOCAL_CONFIG_DIR is expected to be a logical
2497    name and is used as is.
2498
2499    *Richard Levitte*
2500
2501  * The following datatypes were made opaque: X509_OBJECT, X509_STORE_CTX,
2502    X509_STORE, X509_LOOKUP, and X509_LOOKUP_METHOD.  The unused type
2503    X509_CERT_FILE_CTX was removed.
2504
2505    *Rich Salz*
2506
2507  * "shared" builds are now the default. To create only static libraries use
2508    the "no-shared" Configure option.
2509
2510    *Matt Caswell*
2511
2512  * Remove the no-aes, no-hmac, no-rsa, no-sha and no-md5 Configure options.
2513    All of these option have not worked for some while and are fundamental
2514    algorithms.
2515
2516    *Matt Caswell*
2517
2518  * Make various cleanup routines no-ops and mark them as deprecated. Most
2519    global cleanup functions are no longer required because they are handled
2520    via auto-deinit (see OPENSSL_init_crypto and OPENSSL_init_ssl man pages).
2521    Explicitly de-initing can cause problems (e.g. where a library that uses
2522    OpenSSL de-inits, but an application is still using it). The affected
2523    functions are CONF_modules_free(), ENGINE_cleanup(), OBJ_cleanup(),
2524    EVP_cleanup(), BIO_sock_cleanup(), CRYPTO_cleanup_all_ex_data(),
2525    RAND_cleanup(), SSL_COMP_free_compression_methods(), ERR_free_strings() and
2526    COMP_zlib_cleanup().
2527
2528    *Matt Caswell*
2529
2530  * --strict-warnings no longer enables runtime debugging options
2531    such as REF_DEBUG. Instead, debug options are automatically
2532    enabled with '--debug' builds.
2533
2534    *Andy Polyakov, Emilia Käsper*
2535
2536  * Made DH and DH_METHOD opaque. The structures for managing DH objects
2537    have been moved out of the public header files. New functions for managing
2538    these have been added.
2539
2540    *Matt Caswell*
2541
2542  * Made RSA and RSA_METHOD opaque. The structures for managing RSA
2543    objects have been moved out of the public header files. New
2544    functions for managing these have been added.
2545
2546    *Richard Levitte*
2547
2548  * Made DSA and DSA_METHOD opaque. The structures for managing DSA objects
2549    have been moved out of the public header files. New functions for managing
2550    these have been added.
2551
2552    *Matt Caswell*
2553
2554  * Made BIO and BIO_METHOD opaque. The structures for managing BIOs have been
2555    moved out of the public header files. New functions for managing these
2556    have been added.
2557
2558    *Matt Caswell*
2559
2560  * Removed no-rijndael as a config option. Rijndael is an old name for AES.
2561
2562    *Matt Caswell*
2563
2564  * Removed the mk1mf build scripts.
2565
2566    *Richard Levitte*
2567
2568  * Headers are now wrapped, if necessary, with OPENSSL_NO_xxx, so
2569    it is always safe to #include a header now.
2570
2571    *Rich Salz*
2572
2573  * Removed the aged BC-32 config and all its supporting scripts
2574
2575    *Richard Levitte*
2576
2577  * Removed support for Ultrix, Netware, and OS/2.
2578
2579    *Rich Salz*
2580
2581  * Add support for HKDF.
2582
2583    *Alessandro Ghedini*
2584
2585  * Add support for blake2b and blake2s
2586
2587    *Bill Cox*
2588
2589  * Added support for "pipelining". Ciphers that have the
2590    EVP_CIPH_FLAG_PIPELINE flag set have a capability to process multiple
2591    encryptions/decryptions simultaneously. There are currently no built-in
2592    ciphers with this property but the expectation is that engines will be able
2593    to offer it to significantly improve throughput. Support has been extended
2594    into libssl so that multiple records for a single connection can be
2595    processed in one go (for >=TLS 1.1).
2596
2597    *Matt Caswell*
2598
2599  * Added the AFALG engine. This is an async capable engine which is able to
2600    offload work to the Linux kernel. In this initial version it only supports
2601    AES128-CBC. The kernel must be version 4.1.0 or greater.
2602
2603    *Catriona Lucey*
2604
2605  * OpenSSL now uses a new threading API. It is no longer necessary to
2606    set locking callbacks to use OpenSSL in a multi-threaded environment. There
2607    are two supported threading models: pthreads and windows threads. It is
2608    also possible to configure OpenSSL at compile time for "no-threads". The
2609    old threading API should no longer be used. The functions have been
2610    replaced with "no-op" compatibility macros.
2611
2612    *Alessandro Ghedini, Matt Caswell*
2613
2614  * Modify behavior of ALPN to invoke callback after SNI/servername
2615    callback, such that updates to the SSL_CTX affect ALPN.
2616
2617    *Todd Short*
2618
2619  * Add SSL_CIPHER queries for authentication and key-exchange.
2620
2621    *Todd Short*
2622
2623  * Changes to the DEFAULT cipherlist:
2624    - Prefer (EC)DHE handshakes over plain RSA.
2625    - Prefer AEAD ciphers over legacy ciphers.
2626    - Prefer ECDSA over RSA when both certificates are available.
2627    - Prefer TLSv1.2 ciphers/PRF.
2628    - Remove DSS, SEED, IDEA, CAMELLIA, and AES-CCM from the
2629      default cipherlist.
2630
2631    *Emilia Käsper*
2632
2633  * Change the ECC default curve list to be this, in order: x25519,
2634    secp256r1, secp521r1, secp384r1.
2635
2636    *Rich Salz*
2637
2638  * RC4 based libssl ciphersuites are now classed as "weak" ciphers and are
2639    disabled by default. They can be re-enabled using the
2640    enable-weak-ssl-ciphers option to Configure.
2641
2642    *Matt Caswell*
2643
2644  * If the server has ALPN configured, but supports no protocols that the
2645    client advertises, send a fatal "no_application_protocol" alert.
2646    This behaviour is SHALL in RFC 7301, though it isn't universally
2647    implemented by other servers.
2648
2649    *Emilia Käsper*
2650
2651  * Add X25519 support.
2652    Add ASN.1 and EVP_PKEY methods for X25519. This includes support
2653    for public and private key encoding using the format documented in
2654    draft-ietf-curdle-pkix-02. The corresponding EVP_PKEY method supports
2655    key generation and key derivation.
2656
2657    TLS support complies with draft-ietf-tls-rfc4492bis-08 and uses
2658    X25519(29).
2659
2660    *Steve Henson*
2661
2662  * Deprecate SRP_VBASE_get_by_user.
2663    SRP_VBASE_get_by_user had inconsistent memory management behaviour.
2664    In order to fix an unavoidable memory leak [CVE-2016-0798][],
2665    SRP_VBASE_get_by_user was changed to ignore the "fake user" SRP
2666    seed, even if the seed is configured.
2667
2668    Users should use SRP_VBASE_get1_by_user instead. Note that in
2669    SRP_VBASE_get1_by_user, caller must free the returned value. Note
2670    also that even though configuring the SRP seed attempts to hide
2671    invalid usernames by continuing the handshake with fake
2672    credentials, this behaviour is not constant time and no strong
2673    guarantees are made that the handshake is indistinguishable from
2674    that of a valid user.
2675
2676    *Emilia Käsper*
2677
2678  * Configuration change; it's now possible to build dynamic engines
2679    without having to build shared libraries and vice versa.  This
2680    only applies to the engines in engines/, those in crypto/engine/
2681    will always be built into libcrypto (i.e. "static").
2682
2683    Building dynamic engines is enabled by default; to disable, use
2684    the configuration option "disable-dynamic-engine".
2685
2686    The only requirements for building dynamic engines are the
2687    presence of the DSO module and building with position independent
2688    code, so they will also automatically be disabled if configuring
2689    with "disable-dso" or "disable-pic".
2690
2691    The macros OPENSSL_NO_STATIC_ENGINE and OPENSSL_NO_DYNAMIC_ENGINE
2692    are also taken away from openssl/opensslconf.h, as they are
2693    irrelevant.
2694
2695    *Richard Levitte*
2696
2697  * Configuration change; if there is a known flag to compile
2698    position independent code, it will always be applied on the
2699    libcrypto and libssl object files, and never on the application
2700    object files.  This means other libraries that use routines from
2701    libcrypto / libssl can be made into shared libraries regardless
2702    of how OpenSSL was configured.
2703
2704    If this isn't desirable, the configuration options "disable-pic"
2705    or "no-pic" can be used to disable the use of PIC.  This will
2706    also disable building shared libraries and dynamic engines.
2707
2708    *Richard Levitte*
2709
2710  * Removed JPAKE code.  It was experimental and has no wide use.
2711
2712    *Rich Salz*
2713
2714  * The INSTALL_PREFIX Makefile variable has been renamed to
2715    DESTDIR.  That makes for less confusion on what this variable
2716    is for.  Also, the configuration option --install_prefix is
2717    removed.
2718
2719    *Richard Levitte*
2720
2721  * Heartbeat for TLS has been removed and is disabled by default
2722    for DTLS; configure with enable-heartbeats.  Code that uses the
2723    old #define's might need to be updated.
2724
2725    *Emilia Käsper, Rich Salz*
2726
2727  * Rename REF_CHECK to REF_DEBUG.
2728
2729    *Rich Salz*
2730
2731  * New "unified" build system
2732
2733    The "unified" build system is aimed to be a common system for all
2734    platforms we support.  With it comes new support for VMS.
2735
2736    This system builds supports building in a different directory tree
2737    than the source tree.  It produces one Makefile (for unix family
2738    or lookalikes), or one descrip.mms (for VMS).
2739
2740    The source of information to make the Makefile / descrip.mms is
2741    small files called 'build.info', holding the necessary
2742    information for each directory with source to compile, and a
2743    template in Configurations, like unix-Makefile.tmpl or
2744    descrip.mms.tmpl.
2745
2746    With this change, the library names were also renamed on Windows
2747    and on VMS.  They now have names that are closer to the standard
2748    on Unix, and include the major version number, and in certain
2749    cases, the architecture they are built for.  See "Notes on shared
2750    libraries" in INSTALL.
2751
2752    We rely heavily on the perl module Text::Template.
2753
2754    *Richard Levitte*
2755
2756  * Added support for auto-initialisation and de-initialisation of the library.
2757    OpenSSL no longer requires explicit init or deinit routines to be called,
2758    except in certain circumstances. See the OPENSSL_init_crypto() and
2759    OPENSSL_init_ssl() man pages for further information.
2760
2761    *Matt Caswell*
2762
2763  * The arguments to the DTLSv1_listen function have changed. Specifically the
2764    "peer" argument is now expected to be a BIO_ADDR object.
2765
2766  * Rewrite of BIO networking library. The BIO library lacked consistent
2767    support of IPv6, and adding it required some more extensive
2768    modifications.  This introduces the BIO_ADDR and BIO_ADDRINFO types,
2769    which hold all types of addresses and chains of address information.
2770    It also introduces a new API, with functions like BIO_socket,
2771    BIO_connect, BIO_listen, BIO_lookup and a rewrite of BIO_accept.
2772    The source/sink BIOs BIO_s_connect, BIO_s_accept and BIO_s_datagram
2773    have been adapted accordingly.
2774
2775    *Richard Levitte*
2776
2777  * RSA_padding_check_PKCS1_type_1 now accepts inputs with and without
2778    the leading 0-byte.
2779
2780    *Emilia Käsper*
2781
2782  * CRIME protection: disable compression by default, even if OpenSSL is
2783    compiled with zlib enabled. Applications can still enable compression
2784    by calling SSL_CTX_clear_options(ctx, SSL_OP_NO_COMPRESSION), or by
2785    using the SSL_CONF library to configure compression.
2786
2787    *Emilia Käsper*
2788
2789  * The signature of the session callback configured with
2790    SSL_CTX_sess_set_get_cb was changed. The read-only input buffer
2791    was explicitly marked as `const unsigned char*` instead of
2792    `unsigned char*`.
2793
2794    *Emilia Käsper*
2795
2796  * Always DPURIFY. Remove the use of uninitialized memory in the
2797    RNG, and other conditional uses of DPURIFY. This makes -DPURIFY a no-op.
2798
2799    *Emilia Käsper*
2800
2801  * Removed many obsolete configuration items, including
2802       DES_PTR, DES_RISC1, DES_RISC2, DES_INT
2803       MD2_CHAR, MD2_INT, MD2_LONG
2804       BF_PTR, BF_PTR2
2805       IDEA_SHORT, IDEA_LONG
2806       RC2_SHORT, RC2_LONG, RC4_LONG, RC4_CHUNK, RC4_INDEX
2807
2808    *Rich Salz, with advice from Andy Polyakov*
2809
2810  * Many BN internals have been moved to an internal header file.
2811
2812    *Rich Salz with help from Andy Polyakov*
2813
2814  * Configuration and writing out the results from it has changed.
2815    Files such as Makefile include/openssl/opensslconf.h and are now
2816    produced through general templates, such as Makefile.in and
2817    crypto/opensslconf.h.in and some help from the perl module
2818    Text::Template.
2819
2820    Also, the center of configuration information is no longer
2821    Makefile.  Instead, Configure produces a perl module in
2822    configdata.pm which holds most of the config data (in the hash
2823    table %config), the target data that comes from the target
2824    configuration in one of the `Configurations/*.conf~ files (in
2825    %target).
2826
2827    *Richard Levitte*
2828
2829  * To clarify their intended purposes, the Configure options
2830    --prefix and --openssldir change their semantics, and become more
2831    straightforward and less interdependent.
2832
2833    --prefix shall be used exclusively to give the location INSTALLTOP
2834    where programs, scripts, libraries, include files and manuals are
2835    going to be installed.  The default is now /usr/local.
2836
2837    --openssldir shall be used exclusively to give the default
2838    location OPENSSLDIR where certificates, private keys, CRLs are
2839    managed.  This is also where the default openssl.cnf gets
2840    installed.
2841    If the directory given with this option is a relative path, the
2842    values of both the --prefix value and the --openssldir value will
2843    be combined to become OPENSSLDIR.
2844    The default for --openssldir is INSTALLTOP/ssl.
2845
2846    Anyone who uses --openssldir to specify where OpenSSL is to be
2847    installed MUST change to use --prefix instead.
2848
2849    *Richard Levitte*
2850
2851  * The GOST engine was out of date and therefore it has been removed. An up
2852    to date GOST engine is now being maintained in an external repository.
2853    See: <https://wiki.openssl.org/index.php/Binaries>. Libssl still retains
2854    support for GOST ciphersuites (these are only activated if a GOST engine
2855    is present).
2856
2857    *Matt Caswell*
2858
2859  * EGD is no longer supported by default; use enable-egd when
2860    configuring.
2861
2862    *Ben Kaduk and Rich Salz*
2863
2864  * The distribution now has Makefile.in files, which are used to
2865    create Makefile's when Configure is run.  *Configure must be run
2866    before trying to build now.*
2867
2868    *Rich Salz*
2869
2870  * The return value for SSL_CIPHER_description() for error conditions
2871    has changed.
2872
2873    *Rich Salz*
2874
2875  * Support for RFC6698/RFC7671 DANE TLSA peer authentication.
2876
2877    Obtaining and performing DNSSEC validation of TLSA records is
2878    the application's responsibility.  The application provides
2879    the TLSA records of its choice to OpenSSL, and these are then
2880    used to authenticate the peer.
2881
2882    The TLSA records need not even come from DNS.  They can, for
2883    example, be used to implement local end-entity certificate or
2884    trust-anchor "pinning", where the "pin" data takes the form
2885    of TLSA records, which can augment or replace verification
2886    based on the usual WebPKI public certification authorities.
2887
2888    *Viktor Dukhovni*
2889
2890  * Revert default OPENSSL_NO_DEPRECATED setting.  Instead OpenSSL
2891    continues to support deprecated interfaces in default builds.
2892    However, applications are strongly advised to compile their
2893    source files with -DOPENSSL_API_COMPAT=0x10100000L, which hides
2894    the declarations of all interfaces deprecated in 0.9.8, 1.0.0
2895    or the 1.1.0 releases.
2896
2897    In environments in which all applications have been ported to
2898    not use any deprecated interfaces OpenSSL's Configure script
2899    should be used with the --api=1.1.0 option to entirely remove
2900    support for the deprecated features from the library and
2901    unconditionally disable them in the installed headers.
2902    Essentially the same effect can be achieved with the "no-deprecated"
2903    argument to Configure, except that this will always restrict
2904    the build to just the latest API, rather than a fixed API
2905    version.
2906
2907    As applications are ported to future revisions of the API,
2908    they should update their compile-time OPENSSL_API_COMPAT define
2909    accordingly, but in most cases should be able to continue to
2910    compile with later releases.
2911
2912    The OPENSSL_API_COMPAT versions for 1.0.0, and 0.9.8 are
2913    0x10000000L and 0x00908000L, respectively.  However those
2914    versions did not support the OPENSSL_API_COMPAT feature, and
2915    so applications are not typically tested for explicit support
2916    of just the undeprecated features of either release.
2917
2918    *Viktor Dukhovni*
2919
2920  * Add support for setting the minimum and maximum supported protocol.
2921    It can bet set via the SSL_set_min_proto_version() and
2922    SSL_set_max_proto_version(), or via the SSL_CONF's MinProtocol and
2923    MaxProtocol.  It's recommended to use the new APIs to disable
2924    protocols instead of disabling individual protocols using
2925    SSL_set_options() or SSL_CONF's Protocol.  This change also
2926    removes support for disabling TLS 1.2 in the OpenSSL TLS
2927    client at compile time by defining OPENSSL_NO_TLS1_2_CLIENT.
2928
2929    *Kurt Roeckx*
2930
2931  * Support for ChaCha20 and Poly1305 added to libcrypto and libssl.
2932
2933    *Andy Polyakov*
2934
2935  * New EC_KEY_METHOD, this replaces the older ECDSA_METHOD and ECDH_METHOD
2936    and integrates ECDSA and ECDH functionality into EC. Implementations can
2937    now redirect key generation and no longer need to convert to or from
2938    ECDSA_SIG format.
2939
2940    Note: the ecdsa.h and ecdh.h headers are now no longer needed and just
2941    include the ec.h header file instead.
2942
2943    *Steve Henson*
2944
2945  * Remove support for all 40 and 56 bit ciphers.  This includes all the export
2946    ciphers who are no longer supported and drops support the ephemeral RSA key
2947    exchange. The LOW ciphers currently doesn't have any ciphers in it.
2948
2949    *Kurt Roeckx*
2950
2951  * Made EVP_MD_CTX, EVP_MD, EVP_CIPHER_CTX, EVP_CIPHER and HMAC_CTX
2952    opaque.  For HMAC_CTX, the following constructors and destructors
2953    were added:
2954
2955       HMAC_CTX *HMAC_CTX_new(void);
2956       void HMAC_CTX_free(HMAC_CTX *ctx);
2957
2958    For EVP_MD and EVP_CIPHER, complete APIs to create, fill and
2959    destroy such methods has been added.  See EVP_MD_meth_new(3) and
2960    EVP_CIPHER_meth_new(3) for documentation.
2961
2962    Additional changes:
2963    1) EVP_MD_CTX_cleanup(), EVP_CIPHER_CTX_cleanup() and
2964       HMAC_CTX_cleanup() were removed.  HMAC_CTX_reset() and
2965       EVP_MD_CTX_reset() should be called instead to reinitialise
2966       an already created structure.
2967    2) For consistency with the majority of our object creators and
2968       destructors, EVP_MD_CTX_(create|destroy) were renamed to
2969       EVP_MD_CTX_(new|free).  The old names are retained as macros
2970       for deprecated builds.
2971
2972    *Richard Levitte*
2973
2974  * Added ASYNC support. Libcrypto now includes the async sub-library to enable
2975    cryptographic operations to be performed asynchronously as long as an
2976    asynchronous capable engine is used. See the ASYNC_start_job() man page for
2977    further details. Libssl has also had this capability integrated with the
2978    introduction of the new mode SSL_MODE_ASYNC and associated error
2979    SSL_ERROR_WANT_ASYNC. See the SSL_CTX_set_mode() and SSL_get_error() man
2980    pages. This work was developed in partnership with Intel Corp.
2981
2982    *Matt Caswell*
2983
2984  * SSL_{CTX_}set_ecdh_auto() has been removed and ECDH is support is
2985    always enabled now.  If you want to disable the support you should
2986    exclude it using the list of supported ciphers. This also means that the
2987    "-no_ecdhe" option has been removed from s_server.
2988
2989    *Kurt Roeckx*
2990
2991  * SSL_{CTX}_set_tmp_ecdh() which can set 1 EC curve now internally calls
2992    SSL_{CTX_}set1_curves() which can set a list.
2993
2994    *Kurt Roeckx*
2995
2996  * Remove support for SSL_{CTX_}set_tmp_ecdh_callback().  You should set the
2997    curve you want to support using SSL_{CTX_}set1_curves().
2998
2999    *Kurt Roeckx*
3000
3001  * State machine rewrite. The state machine code has been significantly
3002    refactored in order to remove much duplication of code and solve issues
3003    with the old code (see ssl/statem/README for further details). This change
3004    does have some associated API changes. Notably the SSL_state() function
3005    has been removed and replaced by SSL_get_state which now returns an
3006    "OSSL_HANDSHAKE_STATE" instead of an int. SSL_set_state() has been removed
3007    altogether. The previous handshake states defined in ssl.h and ssl3.h have
3008    also been removed.
3009
3010    *Matt Caswell*
3011
3012  * All instances of the string "ssleay" in the public API were replaced
3013    with OpenSSL (case-matching; e.g., OPENSSL_VERSION for #define's)
3014    Some error codes related to internal RSA_eay API's were renamed.
3015
3016    *Rich Salz*
3017
3018  * The demo files in crypto/threads were moved to demo/threads.
3019
3020    *Rich Salz*
3021
3022  * Removed obsolete engines: 4758cca, aep, atalla, cswift, nuron, gmp,
3023    sureware and ubsec.
3024
3025    *Matt Caswell, Rich Salz*
3026
3027  * New ASN.1 embed macro.
3028
3029    New ASN.1 macro ASN1_EMBED. This is the same as ASN1_SIMPLE except the
3030    structure is not allocated: it is part of the parent. That is instead of
3031
3032            FOO *x;
3033
3034    it must be:
3035
3036            FOO x;
3037
3038    This reduces memory fragmentation and make it impossible to accidentally
3039    set a mandatory field to NULL.
3040
3041    This currently only works for some fields specifically a SEQUENCE, CHOICE,
3042    or ASN1_STRING type which is part of a parent SEQUENCE. Since it is
3043    equivalent to ASN1_SIMPLE it cannot be tagged, OPTIONAL, SET OF or
3044    SEQUENCE OF.
3045
3046    *Steve Henson*
3047
3048  * Remove EVP_CHECK_DES_KEY, a compile-time option that never compiled.
3049
3050    *Emilia Käsper*
3051
3052  * Removed DES and RC4 ciphersuites from DEFAULT. Also removed RC2 although
3053    in 1.0.2 EXPORT was already removed and the only RC2 ciphersuite is also
3054    an EXPORT one. COMPLEMENTOFDEFAULT has been updated accordingly to add
3055    DES and RC4 ciphersuites.
3056
3057    *Matt Caswell*
3058
3059  * Rewrite EVP_DecodeUpdate (base64 decoding) to fix several bugs.
3060    This changes the decoding behaviour for some invalid messages,
3061    though the change is mostly in the more lenient direction, and
3062    legacy behaviour is preserved as much as possible.
3063
3064    *Emilia Käsper*
3065
3066  * Fix no-stdio build.
3067    * David Woodhouse <David.Woodhouse@intel.com> and also
3068     Ivan Nestlerode <ivan.nestlerode@sonos.com> *
3069
3070  * New testing framework
3071    The testing framework has been largely rewritten and is now using
3072    perl and the perl modules Test::Harness and an extended variant of
3073    Test::More called OpenSSL::Test to do its work.  All test scripts in
3074    test/ have been rewritten into test recipes, and all direct calls to
3075    executables in test/Makefile have become individual recipes using the
3076    simplified testing OpenSSL::Test::Simple.
3077
3078    For documentation on our testing modules, do:
3079
3080            perldoc test/testlib/OpenSSL/Test/Simple.pm
3081            perldoc test/testlib/OpenSSL/Test.pm
3082
3083    *Richard Levitte*
3084
3085  * Revamped memory debug; only -DCRYPTO_MDEBUG and -DCRYPTO_MDEBUG_ABORT
3086    are used; the latter aborts on memory leaks (usually checked on exit).
3087    Some undocumented "set malloc, etc., hooks" functions were removed
3088    and others were changed.  All are now documented.
3089
3090    *Rich Salz*
3091
3092  * In DSA_generate_parameters_ex, if the provided seed is too short,
3093    return an error
3094
3095    *Rich Salz and Ismo Puustinen <ismo.puustinen@intel.com>*
3096
3097  * Rewrite PSK to support ECDHE_PSK, DHE_PSK and RSA_PSK. Add ciphersuites
3098    from RFC4279, RFC4785, RFC5487, RFC5489.
3099
3100    Thanks to Christian J. Dietrich and Giuseppe D'Angelo for the
3101    original RSA_PSK patch.
3102
3103    *Steve Henson*
3104
3105  * Dropped support for the SSL3_FLAGS_DELAY_CLIENT_FINISHED flag. This SSLeay
3106    era flag was never set throughout the codebase (only read). Also removed
3107    SSL3_FLAGS_POP_BUFFER which was only used if
3108    SSL3_FLAGS_DELAY_CLIENT_FINISHED was also set.
3109
3110    *Matt Caswell*
3111
3112  * Changed the default name options in the "ca", "crl", "req" and "x509"
3113    to be "oneline" instead of "compat".
3114
3115    *Richard Levitte*
3116
3117  * Remove SSL_OP_TLS_BLOCK_PADDING_BUG. This is SSLeay legacy, we're
3118    not aware of clients that still exhibit this bug, and the workaround
3119    hasn't been working properly for a while.
3120
3121    *Emilia Käsper*
3122
3123  * The return type of BIO_number_read() and BIO_number_written() as well as
3124    the corresponding num_read and num_write members in the BIO structure has
3125    changed from unsigned long to uint64_t. On platforms where an unsigned
3126    long is 32 bits (e.g. Windows) these counters could overflow if >4Gb is
3127    transferred.
3128
3129    *Matt Caswell*
3130
3131  * Given the pervasive nature of TLS extensions it is inadvisable to run
3132    OpenSSL without support for them. It also means that maintaining
3133    the OPENSSL_NO_TLSEXT option within the code is very invasive (and probably
3134    not well tested). Therefore the OPENSSL_NO_TLSEXT option has been removed.
3135
3136    *Matt Caswell*
3137
3138  * Removed support for the two export grade static DH ciphersuites
3139    EXP-DH-RSA-DES-CBC-SHA and EXP-DH-DSS-DES-CBC-SHA. These two ciphersuites
3140    were newly added (along with a number of other static DH ciphersuites) to
3141    1.0.2. However the two export ones have *never* worked since they were
3142    introduced. It seems strange in any case to be adding new export
3143    ciphersuites, and given "logjam" it also does not seem correct to fix them.
3144
3145    *Matt Caswell*
3146
3147  * Version negotiation has been rewritten. In particular SSLv23_method(),
3148    SSLv23_client_method() and SSLv23_server_method() have been deprecated,
3149    and turned into macros which simply call the new preferred function names
3150    TLS_method(), TLS_client_method() and TLS_server_method(). All new code
3151    should use the new names instead. Also as part of this change the ssl23.h
3152    header file has been removed.
3153
3154    *Matt Caswell*
3155
3156  * Support for Kerberos ciphersuites in TLS (RFC2712) has been removed. This
3157    code and the associated standard is no longer considered fit-for-purpose.
3158
3159    *Matt Caswell*
3160
3161  * RT2547 was closed.  When generating a private key, try to make the
3162    output file readable only by the owner.  This behavior change might
3163    be noticeable when interacting with other software.
3164
3165  * Documented all exdata functions.  Added CRYPTO_free_ex_index.
3166    Added a test.
3167
3168    *Rich Salz*
3169
3170  * Added HTTP GET support to the ocsp command.
3171
3172    *Rich Salz*
3173
3174  * Changed default digest for the dgst and enc commands from MD5 to
3175    sha256
3176
3177    *Rich Salz*
3178
3179  * RAND_pseudo_bytes has been deprecated. Users should use RAND_bytes instead.
3180
3181    *Matt Caswell*
3182
3183  * Added support for TLS extended master secret from
3184    draft-ietf-tls-session-hash-03.txt. Thanks for Alfredo Pironti for an
3185    initial patch which was a great help during development.
3186
3187    *Steve Henson*
3188
3189  * All libssl internal structures have been removed from the public header
3190    files, and the OPENSSL_NO_SSL_INTERN option has been removed (since it is
3191    now redundant). Users should not attempt to access internal structures
3192    directly. Instead they should use the provided API functions.
3193
3194    *Matt Caswell*
3195
3196  * config has been changed so that by default OPENSSL_NO_DEPRECATED is used.
3197    Access to deprecated functions can be re-enabled by running config with
3198    "enable-deprecated". In addition applications wishing to use deprecated
3199    functions must define OPENSSL_USE_DEPRECATED. Note that this new behaviour
3200    will, by default, disable some transitive includes that previously existed
3201    in the header files (e.g. ec.h will no longer, by default, include bn.h)
3202
3203    *Matt Caswell*
3204
3205  * Added support for OCB mode. OpenSSL has been granted a patent license
3206    compatible with the OpenSSL license for use of OCB. Details are available
3207    at <https://www.openssl.org/source/OCB-patent-grant-OpenSSL.pdf>. Support
3208    for OCB can be removed by calling config with no-ocb.
3209
3210    *Matt Caswell*
3211
3212  * SSLv2 support has been removed.  It still supports receiving a SSLv2
3213    compatible client hello.
3214
3215    *Kurt Roeckx*
3216
3217  * Increased the minimal RSA keysize from 256 to 512 bits [Rich Salz],
3218    done while fixing the error code for the key-too-small case.
3219
3220    *Annie Yousar <a.yousar@informatik.hu-berlin.de>*
3221
3222  * CA.sh has been removed; use CA.pl instead.
3223
3224    *Rich Salz*
3225
3226  * Removed old DES API.
3227
3228    *Rich Salz*
3229
3230  * Remove various unsupported platforms:
3231       Sony NEWS4
3232       BEOS and BEOS_R5
3233       NeXT
3234       SUNOS
3235       MPE/iX
3236       Sinix/ReliantUNIX RM400
3237       DGUX
3238       NCR
3239       Tandem
3240       Cray
3241       16-bit platforms such as WIN16
3242
3243    *Rich Salz*
3244
3245  * Clean up OPENSSL_NO_xxx #define's
3246    - Use setbuf() and remove OPENSSL_NO_SETVBUF_IONBF
3247    - Rename OPENSSL_SYSNAME_xxx to OPENSSL_SYS_xxx
3248    - OPENSSL_NO_EC{DH,DSA} merged into OPENSSL_NO_EC
3249    - OPENSSL_NO_RIPEMD160, OPENSSL_NO_RIPEMD merged into OPENSSL_NO_RMD160
3250    - OPENSSL_NO_FP_API merged into OPENSSL_NO_STDIO
3251    - Remove OPENSSL_NO_BIO OPENSSL_NO_BUFFER OPENSSL_NO_CHAIN_VERIFY
3252      OPENSSL_NO_EVP OPENSSL_NO_FIPS_ERR OPENSSL_NO_HASH_COMP
3253      OPENSSL_NO_LHASH OPENSSL_NO_OBJECT OPENSSL_NO_SPEED OPENSSL_NO_STACK
3254      OPENSSL_NO_X509 OPENSSL_NO_X509_VERIFY
3255    - Remove MS_STATIC; it's a relic from platforms <32 bits.
3256
3257    *Rich Salz*
3258
3259  * Cleaned up dead code
3260      Remove all but one '#ifdef undef' which is to be looked at.
3261
3262    *Rich Salz*
3263
3264  * Clean up calling of xxx_free routines.
3265       Just like free(), fix most of the xxx_free routines to accept
3266       NULL.  Remove the non-null checks from callers.  Save much code.
3267
3268    *Rich Salz*
3269
3270  * Add secure heap for storage of private keys (when possible).
3271    Add BIO_s_secmem(), CBIGNUM, etc.
3272    Contributed by Akamai Technologies under our Corporate CLA.
3273
3274    *Rich Salz*
3275
3276  * Experimental support for a new, fast, unbiased prime candidate generator,
3277    bn_probable_prime_dh_coprime(). Not currently used by any prime generator.
3278
3279    *Felix Laurie von Massenbach <felix@erbridge.co.uk>*
3280
3281  * New output format NSS in the sess_id command line tool. This allows
3282    exporting the session id and the master key in NSS keylog format.
3283
3284    *Martin Kaiser <martin@kaiser.cx>*
3285
3286  * Harmonize version and its documentation. -f flag is used to display
3287    compilation flags.
3288
3289    *mancha <mancha1@zoho.com>*
3290
3291  * Fix eckey_priv_encode so it immediately returns an error upon a failure
3292    in i2d_ECPrivateKey.  Thanks to Ted Unangst for feedback on this issue.
3293
3294    *mancha <mancha1@zoho.com>*
3295
3296  * Fix some double frees. These are not thought to be exploitable.
3297
3298    *mancha <mancha1@zoho.com>*
3299
3300  * A missing bounds check in the handling of the TLS heartbeat extension
3301    can be used to reveal up to 64k of memory to a connected client or
3302    server.
3303
3304    Thanks for Neel Mehta of Google Security for discovering this bug and to
3305    Adam Langley <agl@chromium.org> and Bodo Moeller <bmoeller@acm.org> for
3306    preparing the fix [CVE-2014-0160][]
3307
3308    *Adam Langley, Bodo Moeller*
3309
3310  * Fix for the attack described in the paper "Recovering OpenSSL
3311    ECDSA Nonces Using the FLUSH+RELOAD Cache Side-channel Attack"
3312    by Yuval Yarom and Naomi Benger. Details can be obtained from:
3313    <http://eprint.iacr.org/2014/140>
3314
3315    Thanks to Yuval Yarom and Naomi Benger for discovering this
3316    flaw and to Yuval Yarom for supplying a fix [CVE-2014-0076][]
3317
3318    *Yuval Yarom and Naomi Benger*
3319
3320  * Use algorithm specific chains in SSL_CTX_use_certificate_chain_file():
3321    this fixes a limitation in previous versions of OpenSSL.
3322
3323    *Steve Henson*
3324
3325  * Experimental encrypt-then-mac support.
3326
3327    Experimental support for encrypt then mac from
3328    draft-gutmann-tls-encrypt-then-mac-02.txt
3329
3330    To enable it set the appropriate extension number (0x42 for the test
3331    server) using e.g. -DTLSEXT_TYPE_encrypt_then_mac=0x42
3332
3333    For non-compliant peers (i.e. just about everything) this should have no
3334    effect.
3335
3336    WARNING: EXPERIMENTAL, SUBJECT TO CHANGE.
3337
3338    *Steve Henson*
3339
3340  * Add EVP support for key wrapping algorithms, to avoid problems with
3341    existing code the flag EVP_CIPHER_CTX_WRAP_ALLOW has to be set in
3342    the EVP_CIPHER_CTX or an error is returned. Add AES and DES3 wrap
3343    algorithms and include tests cases.
3344
3345    *Steve Henson*
3346
3347  * Extend CMS code to support RSA-PSS signatures and RSA-OAEP for
3348    enveloped data.
3349
3350    *Steve Henson*
3351
3352  * Extended RSA OAEP support via EVP_PKEY API. Options to specify digest,
3353    MGF1 digest and OAEP label.
3354
3355    *Steve Henson*
3356
3357  * Make openssl verify return errors.
3358
3359    *Chris Palmer <palmer@google.com> and Ben Laurie*
3360
3361  * New function ASN1_TIME_diff to calculate the difference between two
3362    ASN1_TIME structures or one structure and the current time.
3363
3364    *Steve Henson*
3365
3366  * Update fips_test_suite to support multiple command line options. New
3367    test to induce all self test errors in sequence and check expected
3368    failures.
3369
3370    *Steve Henson*
3371
3372  * Add FIPS_{rsa,dsa,ecdsa}_{sign,verify} functions which digest and
3373    sign or verify all in one operation.
3374
3375    *Steve Henson*
3376
3377  * Add fips_algvs: a multicall fips utility incorporating all the algorithm
3378    test programs and fips_test_suite. Includes functionality to parse
3379    the minimal script output of fipsalgest.pl directly.
3380
3381    *Steve Henson*
3382
3383  * Add authorisation parameter to FIPS_module_mode_set().
3384
3385    *Steve Henson*
3386
3387  * Add FIPS selftest for ECDH algorithm using P-224 and B-233 curves.
3388
3389    *Steve Henson*
3390
3391  * Use separate DRBG fields for internal and external flags. New function
3392    FIPS_drbg_health_check() to perform on demand health checking. Add
3393    generation tests to fips_test_suite with reduced health check interval to
3394    demonstrate periodic health checking. Add "nodh" option to
3395    fips_test_suite to skip very slow DH test.
3396
3397    *Steve Henson*
3398
3399  * New function FIPS_get_cipherbynid() to lookup FIPS supported ciphers
3400    based on NID.
3401
3402    *Steve Henson*
3403
3404  * More extensive health check for DRBG checking many more failure modes.
3405    New function FIPS_selftest_drbg_all() to handle every possible DRBG
3406    combination: call this in fips_test_suite.
3407
3408    *Steve Henson*
3409
3410  * Add support for canonical generation of DSA parameter 'g'. See
3411    FIPS 186-3 A.2.3.
3412
3413  * Add support for HMAC DRBG from SP800-90. Update DRBG algorithm test and
3414    POST to handle HMAC cases.
3415
3416    *Steve Henson*
3417
3418  * Add functions FIPS_module_version() and FIPS_module_version_text()
3419    to return numerical and string versions of the FIPS module number.
3420
3421    *Steve Henson*
3422
3423  * Rename FIPS_mode_set and FIPS_mode to FIPS_module_mode_set and
3424    FIPS_module_mode. FIPS_mode and FIPS_mode_set will be implemented
3425    outside the validated module in the FIPS capable OpenSSL.
3426
3427    *Steve Henson*
3428
3429  * Minor change to DRBG entropy callback semantics. In some cases
3430    there is no multiple of the block length between min_len and
3431    max_len. Allow the callback to return more than max_len bytes
3432    of entropy but discard any extra: it is the callback's responsibility
3433    to ensure that the extra data discarded does not impact the
3434    requested amount of entropy.
3435
3436    *Steve Henson*
3437
3438  * Add PRNG security strength checks to RSA, DSA and ECDSA using
3439    information in FIPS186-3, SP800-57 and SP800-131A.
3440
3441    *Steve Henson*
3442
3443  * CCM support via EVP. Interface is very similar to GCM case except we
3444    must supply all data in one chunk (i.e. no update, final) and the
3445    message length must be supplied if AAD is used. Add algorithm test
3446    support.
3447
3448    *Steve Henson*
3449
3450  * Initial version of POST overhaul. Add POST callback to allow the status
3451    of POST to be monitored and/or failures induced. Modify fips_test_suite
3452    to use callback. Always run all selftests even if one fails.
3453
3454    *Steve Henson*
3455
3456  * XTS support including algorithm test driver in the fips_gcmtest program.
3457    Note: this does increase the maximum key length from 32 to 64 bytes but
3458    there should be no binary compatibility issues as existing applications
3459    will never use XTS mode.
3460
3461    *Steve Henson*
3462
3463  * Extensive reorganisation of FIPS PRNG behaviour. Remove all dependencies
3464    to OpenSSL RAND code and replace with a tiny FIPS RAND API which also
3465    performs algorithm blocking for unapproved PRNG types. Also do not
3466    set PRNG type in FIPS_mode_set(): leave this to the application.
3467    Add default OpenSSL DRBG handling: sets up FIPS PRNG and seeds with
3468    the standard OpenSSL PRNG: set additional data to a date time vector.
3469
3470    *Steve Henson*
3471
3472  * Rename old X9.31 PRNG functions of the form FIPS_rand* to FIPS_x931*.
3473    This shouldn't present any incompatibility problems because applications
3474    shouldn't be using these directly and any that are will need to rethink
3475    anyway as the X9.31 PRNG is now deprecated by FIPS 140-2
3476
3477    *Steve Henson*
3478
3479  * Extensive self tests and health checking required by SP800-90 DRBG.
3480    Remove strength parameter from FIPS_drbg_instantiate and always
3481    instantiate at maximum supported strength.
3482
3483    *Steve Henson*
3484
3485  * Add ECDH code to fips module and fips_ecdhvs for primitives only testing.
3486
3487    *Steve Henson*
3488
3489  * New algorithm test program fips_dhvs to handle DH primitives only testing.
3490
3491    *Steve Henson*
3492
3493  * New function DH_compute_key_padded() to compute a DH key and pad with
3494    leading zeroes if needed: this complies with SP800-56A et al.
3495
3496    *Steve Henson*
3497
3498  * Initial implementation of SP800-90 DRBGs for Hash and CTR. Not used by
3499    anything, incomplete, subject to change and largely untested at present.
3500
3501    *Steve Henson*
3502
3503  * Modify fipscanisteronly build option to only build the necessary object
3504    files by filtering FIPS_EX_OBJ through a perl script in crypto/Makefile.
3505
3506    *Steve Henson*
3507
3508  * Add experimental option FIPSSYMS to give all symbols in
3509    fipscanister.o and FIPS or fips prefix. This will avoid
3510    conflicts with future versions of OpenSSL. Add perl script
3511    util/fipsas.pl to preprocess assembly language source files
3512    and rename any affected symbols.
3513
3514    *Steve Henson*
3515
3516  * Add selftest checks and algorithm block of non-fips algorithms in
3517    FIPS mode. Remove DES2 from selftests.
3518
3519    *Steve Henson*
3520
3521  * Add ECDSA code to fips module. Add tiny fips_ecdsa_check to just
3522    return internal method without any ENGINE dependencies. Add new
3523    tiny fips sign and verify functions.
3524
3525    *Steve Henson*
3526
3527  * New build option no-ec2m to disable characteristic 2 code.
3528
3529    *Steve Henson*
3530
3531  * New build option "fipscanisteronly". This only builds fipscanister.o
3532    and (currently) associated fips utilities. Uses the file Makefile.fips
3533    instead of Makefile.org as the prototype.
3534
3535    *Steve Henson*
3536
3537  * Add some FIPS mode restrictions to GCM. Add internal IV generator.
3538    Update fips_gcmtest to use IV generator.
3539
3540    *Steve Henson*
3541
3542  * Initial, experimental EVP support for AES-GCM. AAD can be input by
3543    setting output buffer to NULL. The `*Final` function must be
3544    called although it will not retrieve any additional data. The tag
3545    can be set or retrieved with a ctrl. The IV length is by default 12
3546    bytes (96 bits) but can be set to an alternative value. If the IV
3547    length exceeds the maximum IV length (currently 16 bytes) it cannot be
3548    set before the key.
3549
3550    *Steve Henson*
3551
3552  * New flag in ciphers: EVP_CIPH_FLAG_CUSTOM_CIPHER. This means the
3553    underlying do_cipher function handles all cipher semantics itself
3554    including padding and finalisation. This is useful if (for example)
3555    an ENGINE cipher handles block padding itself. The behaviour of
3556    do_cipher is subtly changed if this flag is set: the return value
3557    is the number of characters written to the output buffer (zero is
3558    no longer an error code) or a negative error code. Also if the
3559    input buffer is NULL and length 0 finalisation should be performed.
3560
3561    *Steve Henson*
3562
3563  * If a candidate issuer certificate is already part of the constructed
3564    path ignore it: new debug notification X509_V_ERR_PATH_LOOP for this case.
3565
3566    *Steve Henson*
3567
3568  * Improve forward-security support: add functions
3569
3570            void SSL_CTX_set_not_resumable_session_callback(
3571                     SSL_CTX *ctx, int (*cb)(SSL *ssl, int is_forward_secure))
3572            void SSL_set_not_resumable_session_callback(
3573                     SSL *ssl, int (*cb)(SSL *ssl, int is_forward_secure))
3574
3575    for use by SSL/TLS servers; the callback function will be called whenever a
3576    new session is created, and gets to decide whether the session may be
3577    cached to make it resumable (return 0) or not (return 1).  (As by the
3578    SSL/TLS protocol specifications, the session_id sent by the server will be
3579    empty to indicate that the session is not resumable; also, the server will
3580    not generate RFC 4507 (RFC 5077) session tickets.)
3581
3582    A simple reasonable callback implementation is to return is_forward_secure.
3583    This parameter will be set to 1 or 0 depending on the ciphersuite selected
3584    by the SSL/TLS server library, indicating whether it can provide forward
3585    security.
3586
3587    *Emilia Käsper <emilia.kasper@esat.kuleuven.be> (Google)*
3588
3589  * New -verify_name option in command line utilities to set verification
3590    parameters by name.
3591
3592    *Steve Henson*
3593
3594  * Initial CMAC implementation. WARNING: EXPERIMENTAL, API MAY CHANGE.
3595    Add CMAC pkey methods.
3596
3597    *Steve Henson*
3598
3599  * Experimental renegotiation in s_server -www mode. If the client
3600    browses /reneg connection is renegotiated. If /renegcert it is
3601    renegotiated requesting a certificate.
3602
3603    *Steve Henson*
3604
3605  * Add an "external" session cache for debugging purposes to s_server. This
3606    should help trace issues which normally are only apparent in deployed
3607    multi-process servers.
3608
3609    *Steve Henson*
3610
3611  * Extensive audit of libcrypto with DEBUG_UNUSED. Fix many cases where
3612    return value is ignored. NB. The functions RAND_add(), RAND_seed(),
3613    BIO_set_cipher() and some obscure PEM functions were changed so they
3614    can now return an error. The RAND changes required a change to the
3615    RAND_METHOD structure.
3616
3617    *Steve Henson*
3618
3619  * New macro `__owur` for "OpenSSL Warn Unused Result". This makes use of
3620    a gcc attribute to warn if the result of a function is ignored. This
3621    is enable if DEBUG_UNUSED is set. Add to several functions in evp.h
3622    whose return value is often ignored.
3623
3624    *Steve Henson*
3625
3626  * New -noct, -requestct, -requirect and -ctlogfile options for s_client.
3627    These allow SCTs (signed certificate timestamps) to be requested and
3628    validated when establishing a connection.
3629
3630    *Rob Percival <robpercival@google.com>*
3631
3632 OpenSSL 1.0.2
3633 -------------
3634
3635 ### Changes between 1.0.2s and 1.0.2t [10 Sep 2019]
3636
3637  * For built-in EC curves, ensure an EC_GROUP built from the curve name is
3638    used even when parsing explicit parameters, when loading a serialized key
3639    or calling `EC_GROUP_new_from_ecpkparameters()`/
3640    `EC_GROUP_new_from_ecparameters()`.
3641    This prevents bypass of security hardening and performance gains,
3642    especially for curves with specialized EC_METHODs.
3643    By default, if a key encoded with explicit parameters is loaded and later
3644    serialized, the output is still encoded with explicit parameters, even if
3645    internally a "named" EC_GROUP is used for computation.
3646
3647    *Nicola Tuveri*
3648
3649  * Compute ECC cofactors if not provided during EC_GROUP construction. Before
3650    this change, EC_GROUP_set_generator would accept order and/or cofactor as
3651    NULL. After this change, only the cofactor parameter can be NULL. It also
3652    does some minimal sanity checks on the passed order.
3653    [CVE-2019-1547][]
3654
3655    *Billy Bob Brumley*
3656
3657  * Fixed a padding oracle in PKCS7_dataDecode and CMS_decrypt_set1_pkey.
3658    An attack is simple, if the first CMS_recipientInfo is valid but the
3659    second CMS_recipientInfo is chosen ciphertext. If the second
3660    recipientInfo decodes to PKCS #1 v1.5 form plaintext, the correct
3661    encryption key will be replaced by garbage, and the message cannot be
3662    decoded, but if the RSA decryption fails, the correct encryption key is
3663    used and the recipient will not notice the attack.
3664    As a work around for this potential attack the length of the decrypted
3665    key must be equal to the cipher default key length, in case the
3666    certifiate is not given and all recipientInfo are tried out.
3667    The old behaviour can be re-enabled in the CMS code by setting the
3668    CMS_DEBUG_DECRYPT flag.
3669    [CVE-2019-1563][]
3670
3671    *Bernd Edlinger*
3672
3673  * Document issue with installation paths in diverse Windows builds
3674
3675    '/usr/local/ssl' is an unsafe prefix for location to install OpenSSL
3676    binaries and run-time config file.
3677    [CVE-2019-1552][]
3678
3679    *Richard Levitte*
3680
3681 ### Changes between 1.0.2r and 1.0.2s [28 May 2019]
3682
3683  * Change the default RSA, DSA and DH size to 2048 bit instead of 1024.
3684    This changes the size when using the genpkey app when no size is given. It
3685    fixes an omission in earlier changes that changed all RSA, DSA and DH
3686    generation apps to use 2048 bits by default.
3687
3688    *Kurt Roeckx*
3689
3690  * Add FIPS support for Android Arm 64-bit
3691
3692    Support for Android Arm 64-bit was added to the OpenSSL FIPS Object
3693    Module in Version 2.0.10. For some reason, the corresponding target
3694    'android64-aarch64' was missing OpenSSL 1.0.2, whence it could not be
3695    built with FIPS support on Android Arm 64-bit. This omission has been
3696    fixed.
3697
3698    *Matthias St. Pierre*
3699
3700 ### Changes between 1.0.2q and 1.0.2r [26 Feb 2019]
3701
3702  * 0-byte record padding oracle
3703
3704    If an application encounters a fatal protocol error and then calls
3705    SSL_shutdown() twice (once to send a close_notify, and once to receive one)
3706    then OpenSSL can respond differently to the calling application if a 0 byte
3707    record is received with invalid padding compared to if a 0 byte record is
3708    received with an invalid MAC. If the application then behaves differently
3709    based on that in a way that is detectable to the remote peer, then this
3710    amounts to a padding oracle that could be used to decrypt data.
3711
3712    In order for this to be exploitable "non-stitched" ciphersuites must be in
3713    use. Stitched ciphersuites are optimised implementations of certain
3714    commonly used ciphersuites. Also the application must call SSL_shutdown()
3715    twice even if a protocol error has occurred (applications should not do
3716    this but some do anyway).
3717
3718    This issue was discovered by Juraj Somorovsky, Robert Merget and Nimrod
3719    Aviram, with additional investigation by Steven Collison and Andrew
3720    Hourselt. It was reported to OpenSSL on 10th December 2018.
3721    [CVE-2019-1559][]
3722
3723    *Matt Caswell*
3724
3725  * Move strictness check from EVP_PKEY_asn1_new() to EVP_PKEY_asn1_add0().
3726
3727    *Richard Levitte*
3728
3729 ### Changes between 1.0.2p and 1.0.2q [20 Nov 2018]
3730
3731  * Microarchitecture timing vulnerability in ECC scalar multiplication
3732
3733    OpenSSL ECC scalar multiplication, used in e.g. ECDSA and ECDH, has been
3734    shown to be vulnerable to a microarchitecture timing side channel attack.
3735    An attacker with sufficient access to mount local timing attacks during
3736    ECDSA signature generation could recover the private key.
3737
3738    This issue was reported to OpenSSL on 26th October 2018 by Alejandro
3739    Cabrera Aldaya, Billy Brumley, Sohaib ul Hassan, Cesar Pereida Garcia and
3740    Nicola Tuveri.
3741    [CVE-2018-5407][]
3742
3743    *Billy Brumley*
3744
3745  * Timing vulnerability in DSA signature generation
3746
3747    The OpenSSL DSA signature algorithm has been shown to be vulnerable to a
3748    timing side channel attack. An attacker could use variations in the signing
3749    algorithm to recover the private key.
3750
3751    This issue was reported to OpenSSL on 16th October 2018 by Samuel Weiser.
3752    [CVE-2018-0734][]
3753
3754    *Paul Dale*
3755
3756  * Resolve a compatibility issue in EC_GROUP handling with the FIPS Object
3757    Module, accidentally introduced while backporting security fixes from the
3758    development branch and hindering the use of ECC in FIPS mode.
3759
3760    *Nicola Tuveri*
3761
3762 ### Changes between 1.0.2o and 1.0.2p [14 Aug 2018]
3763
3764  * Client DoS due to large DH parameter
3765
3766    During key agreement in a TLS handshake using a DH(E) based ciphersuite a
3767    malicious server can send a very large prime value to the client. This will
3768    cause the client to spend an unreasonably long period of time generating a
3769    key for this prime resulting in a hang until the client has finished. This
3770    could be exploited in a Denial Of Service attack.
3771
3772    This issue was reported to OpenSSL on 5th June 2018 by Guido Vranken
3773    [CVE-2018-0732][]
3774
3775    *Guido Vranken*
3776
3777  * Cache timing vulnerability in RSA Key Generation
3778
3779    The OpenSSL RSA Key generation algorithm has been shown to be vulnerable to
3780    a cache timing side channel attack. An attacker with sufficient access to
3781    mount cache timing attacks during the RSA key generation process could
3782    recover the private key.
3783
3784    This issue was reported to OpenSSL on 4th April 2018 by Alejandro Cabrera
3785    Aldaya, Billy Brumley, Cesar Pereida Garcia and Luis Manuel Alvarez Tapia.
3786    [CVE-2018-0737][]
3787
3788    *Billy Brumley*
3789
3790  * Make EVP_PKEY_asn1_new() a bit stricter about its input.  A NULL pem_str
3791    parameter is no longer accepted, as it leads to a corrupt table.  NULL
3792    pem_str is reserved for alias entries only.
3793
3794    *Richard Levitte*
3795
3796  * Revert blinding in ECDSA sign and instead make problematic addition
3797    length-invariant. Switch even to fixed-length Montgomery multiplication.
3798
3799    *Andy Polyakov*
3800
3801  * Change generating and checking of primes so that the error rate of not
3802    being prime depends on the intended use based on the size of the input.
3803    For larger primes this will result in more rounds of Miller-Rabin.
3804    The maximal error rate for primes with more than 1080 bits is lowered
3805    to 2^-128.
3806
3807    *Kurt Roeckx, Annie Yousar*
3808
3809  * Increase the number of Miller-Rabin rounds for DSA key generating to 64.
3810
3811    *Kurt Roeckx*
3812
3813  * Add blinding to ECDSA and DSA signatures to protect against side channel
3814    attacks discovered by Keegan Ryan (NCC Group).
3815
3816    *Matt Caswell*
3817
3818  * When unlocking a pass phrase protected PEM file or PKCS#8 container, we
3819    now allow empty (zero character) pass phrases.
3820
3821    *Richard Levitte*
3822
3823  * Certificate time validation (X509_cmp_time) enforces stricter
3824    compliance with RFC 5280. Fractional seconds and timezone offsets
3825    are no longer allowed.
3826
3827    *Emilia Käsper*
3828
3829 ### Changes between 1.0.2n and 1.0.2o [27 Mar 2018]
3830
3831  * Constructed ASN.1 types with a recursive definition could exceed the stack
3832
3833    Constructed ASN.1 types with a recursive definition (such as can be found
3834    in PKCS7) could eventually exceed the stack given malicious input with
3835    excessive recursion. This could result in a Denial Of Service attack. There
3836    are no such structures used within SSL/TLS that come from untrusted sources
3837    so this is considered safe.
3838
3839    This issue was reported to OpenSSL on 4th January 2018 by the OSS-fuzz
3840    project.
3841    [CVE-2018-0739][]
3842
3843    *Matt Caswell*
3844
3845 ### Changes between 1.0.2m and 1.0.2n [7 Dec 2017]
3846
3847  * Read/write after SSL object in error state
3848
3849    OpenSSL 1.0.2 (starting from version 1.0.2b) introduced an "error state"
3850    mechanism. The intent was that if a fatal error occurred during a handshake
3851    then OpenSSL would move into the error state and would immediately fail if
3852    you attempted to continue the handshake. This works as designed for the
3853    explicit handshake functions (SSL_do_handshake(), SSL_accept() and
3854    SSL_connect()), however due to a bug it does not work correctly if
3855    SSL_read() or SSL_write() is called directly. In that scenario, if the
3856    handshake fails then a fatal error will be returned in the initial function
3857    call. If SSL_read()/SSL_write() is subsequently called by the application
3858    for the same SSL object then it will succeed and the data is passed without
3859    being decrypted/encrypted directly from the SSL/TLS record layer.
3860
3861    In order to exploit this issue an application bug would have to be present
3862    that resulted in a call to SSL_read()/SSL_write() being issued after having
3863    already received a fatal error.
3864
3865    This issue was reported to OpenSSL by David Benjamin (Google).
3866    [CVE-2017-3737][]
3867
3868    *Matt Caswell*
3869
3870  * rsaz_1024_mul_avx2 overflow bug on x86_64
3871
3872    There is an overflow bug in the AVX2 Montgomery multiplication procedure
3873    used in exponentiation with 1024-bit moduli. No EC algorithms are affected.
3874    Analysis suggests that attacks against RSA and DSA as a result of this
3875    defect would be very difficult to perform and are not believed likely.
3876    Attacks against DH1024 are considered just feasible, because most of the
3877    work necessary to deduce information about a private key may be performed
3878    offline. The amount of resources required for such an attack would be
3879    significant. However, for an attack on TLS to be meaningful, the server
3880    would have to share the DH1024 private key among multiple clients, which is
3881    no longer an option since CVE-2016-0701.
3882
3883    This only affects processors that support the AVX2 but not ADX extensions
3884    like Intel Haswell (4th generation).
3885
3886    This issue was reported to OpenSSL by David Benjamin (Google). The issue
3887    was originally found via the OSS-Fuzz project.
3888    [CVE-2017-3738][]
3889
3890    *Andy Polyakov*
3891
3892 ### Changes between 1.0.2l and 1.0.2m [2 Nov 2017]
3893
3894  * bn_sqrx8x_internal carry bug on x86_64
3895
3896    There is a carry propagating bug in the x86_64 Montgomery squaring
3897    procedure. No EC algorithms are affected. Analysis suggests that attacks
3898    against RSA and DSA as a result of this defect would be very difficult to
3899    perform and are not believed likely. Attacks against DH are considered just
3900    feasible (although very difficult) because most of the work necessary to
3901    deduce information about a private key may be performed offline. The amount
3902    of resources required for such an attack would be very significant and
3903    likely only accessible to a limited number of attackers. An attacker would
3904    additionally need online access to an unpatched system using the target
3905    private key in a scenario with persistent DH parameters and a private
3906    key that is shared between multiple clients.
3907
3908    This only affects processors that support the BMI1, BMI2 and ADX extensions
3909    like Intel Broadwell (5th generation) and later or AMD Ryzen.
3910
3911    This issue was reported to OpenSSL by the OSS-Fuzz project.
3912    [CVE-2017-3736][]
3913
3914    *Andy Polyakov*
3915
3916  * Malformed X.509 IPAddressFamily could cause OOB read
3917
3918    If an X.509 certificate has a malformed IPAddressFamily extension,
3919    OpenSSL could do a one-byte buffer overread. The most likely result
3920    would be an erroneous display of the certificate in text format.
3921
3922    This issue was reported to OpenSSL by the OSS-Fuzz project.
3923    [CVE-2017-3735][]
3924
3925    *Rich Salz*
3926
3927 ### Changes between 1.0.2k and 1.0.2l [25 May 2017]
3928
3929  * Have 'config' recognise 64-bit mingw and choose 'mingw64' as the target
3930    platform rather than 'mingw'.
3931
3932    *Richard Levitte*
3933
3934 ### Changes between 1.0.2j and 1.0.2k [26 Jan 2017]
3935
3936  * Truncated packet could crash via OOB read
3937
3938    If one side of an SSL/TLS path is running on a 32-bit host and a specific
3939    cipher is being used, then a truncated packet can cause that host to
3940    perform an out-of-bounds read, usually resulting in a crash.
3941
3942    This issue was reported to OpenSSL by Robert Święcki of Google.
3943    [CVE-2017-3731][]
3944
3945    *Andy Polyakov*
3946
3947  * BN_mod_exp may produce incorrect results on x86_64
3948
3949    There is a carry propagating bug in the x86_64 Montgomery squaring
3950    procedure. No EC algorithms are affected. Analysis suggests that attacks
3951    against RSA and DSA as a result of this defect would be very difficult to
3952    perform and are not believed likely. Attacks against DH are considered just
3953    feasible (although very difficult) because most of the work necessary to
3954    deduce information about a private key may be performed offline. The amount
3955    of resources required for such an attack would be very significant and
3956    likely only accessible to a limited number of attackers. An attacker would
3957    additionally need online access to an unpatched system using the target
3958    private key in a scenario with persistent DH parameters and a private
3959    key that is shared between multiple clients. For example this can occur by
3960    default in OpenSSL DHE based SSL/TLS ciphersuites. Note: This issue is very
3961    similar to CVE-2015-3193 but must be treated as a separate problem.
3962
3963    This issue was reported to OpenSSL by the OSS-Fuzz project.
3964    [CVE-2017-3732][]
3965
3966    *Andy Polyakov*
3967
3968  * Montgomery multiplication may produce incorrect results
3969
3970    There is a carry propagating bug in the Broadwell-specific Montgomery
3971    multiplication procedure that handles input lengths divisible by, but
3972    longer than 256 bits. Analysis suggests that attacks against RSA, DSA
3973    and DH private keys are impossible. This is because the subroutine in
3974    question is not used in operations with the private key itself and an input
3975    of the attacker's direct choice. Otherwise the bug can manifest itself as
3976    transient authentication and key negotiation failures or reproducible
3977    erroneous outcome of public-key operations with specially crafted input.
3978    Among EC algorithms only Brainpool P-512 curves are affected and one
3979    presumably can attack ECDH key negotiation. Impact was not analyzed in
3980    detail, because pre-requisites for attack are considered unlikely. Namely
3981    multiple clients have to choose the curve in question and the server has to
3982    share the private key among them, neither of which is default behaviour.
3983    Even then only clients that chose the curve will be affected.
3984
3985    This issue was publicly reported as transient failures and was not
3986    initially recognized as a security issue. Thanks to Richard Morgan for
3987    providing reproducible case.
3988    [CVE-2016-7055][]
3989
3990    *Andy Polyakov*
3991
3992  * OpenSSL now fails if it receives an unrecognised record type in TLS1.0
3993    or TLS1.1. Previously this only happened in SSLv3 and TLS1.2. This is to
3994    prevent issues where no progress is being made and the peer continually
3995    sends unrecognised record types, using up resources processing them.
3996
3997    *Matt Caswell*
3998
3999 ### Changes between 1.0.2i and 1.0.2j [26 Sep 2016]
4000
4001  * Missing CRL sanity check
4002
4003    A bug fix which included a CRL sanity check was added to OpenSSL 1.1.0
4004    but was omitted from OpenSSL 1.0.2i. As a result any attempt to use
4005    CRLs in OpenSSL 1.0.2i will crash with a null pointer exception.
4006
4007    This issue only affects the OpenSSL 1.0.2i
4008    [CVE-2016-7052][]
4009
4010    *Matt Caswell*
4011
4012 ### Changes between 1.0.2h and 1.0.2i [22 Sep 2016]
4013
4014  * OCSP Status Request extension unbounded memory growth
4015
4016    A malicious client can send an excessively large OCSP Status Request
4017    extension. If that client continually requests renegotiation, sending a
4018    large OCSP Status Request extension each time, then there will be unbounded
4019    memory growth on the server. This will eventually lead to a Denial Of
4020    Service attack through memory exhaustion. Servers with a default
4021    configuration are vulnerable even if they do not support OCSP. Builds using
4022    the "no-ocsp" build time option are not affected.
4023
4024    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
4025    [CVE-2016-6304][]
4026
4027    *Matt Caswell*
4028
4029  * In order to mitigate the SWEET32 attack, the DES ciphers were moved from
4030    HIGH to MEDIUM.
4031
4032    This issue was reported to OpenSSL Karthikeyan Bhargavan and Gaetan
4033    Leurent (INRIA)
4034    [CVE-2016-2183][]
4035
4036    *Rich Salz*
4037
4038  * OOB write in MDC2_Update()
4039
4040    An overflow can occur in MDC2_Update() either if called directly or
4041    through the EVP_DigestUpdate() function using MDC2. If an attacker
4042    is able to supply very large amounts of input data after a previous
4043    call to EVP_EncryptUpdate() with a partial block then a length check
4044    can overflow resulting in a heap corruption.
4045
4046    The amount of data needed is comparable to SIZE_MAX which is impractical
4047    on most platforms.
4048
4049    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
4050    [CVE-2016-6303][]
4051
4052    *Stephen Henson*
4053
4054  * Malformed SHA512 ticket DoS
4055
4056    If a server uses SHA512 for TLS session ticket HMAC it is vulnerable to a
4057    DoS attack where a malformed ticket will result in an OOB read which will
4058    ultimately crash.
4059
4060    The use of SHA512 in TLS session tickets is comparatively rare as it requires
4061    a custom server callback and ticket lookup mechanism.
4062
4063    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
4064    [CVE-2016-6302][]
4065
4066    *Stephen Henson*
4067
4068  * OOB write in BN_bn2dec()
4069
4070    The function BN_bn2dec() does not check the return value of BN_div_word().
4071    This can cause an OOB write if an application uses this function with an
4072    overly large BIGNUM. This could be a problem if an overly large certificate
4073    or CRL is printed out from an untrusted source. TLS is not affected because
4074    record limits will reject an oversized certificate before it is parsed.
4075
4076    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
4077    [CVE-2016-2182][]
4078
4079    *Stephen Henson*
4080
4081  * OOB read in TS_OBJ_print_bio()
4082
4083    The function TS_OBJ_print_bio() misuses OBJ_obj2txt(): the return value is
4084    the total length the OID text representation would use and not the amount
4085    of data written. This will result in OOB reads when large OIDs are
4086    presented.
4087
4088    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
4089    [CVE-2016-2180][]
4090
4091    *Stephen Henson*
4092
4093  * Pointer arithmetic undefined behaviour
4094
4095    Avoid some undefined pointer arithmetic
4096
4097    A common idiom in the codebase is to check limits in the following manner:
4098    "p + len > limit"
4099
4100    Where "p" points to some malloc'd data of SIZE bytes and
4101    limit == p + SIZE
4102
4103    "len" here could be from some externally supplied data (e.g. from a TLS
4104    message).
4105
4106    The rules of C pointer arithmetic are such that "p + len" is only well
4107    defined where len <= SIZE. Therefore the above idiom is actually
4108    undefined behaviour.
4109
4110    For example this could cause problems if some malloc implementation
4111    provides an address for "p" such that "p + len" actually overflows for
4112    values of len that are too big and therefore p + len < limit.
4113
4114    This issue was reported to OpenSSL by Guido Vranken
4115    [CVE-2016-2177][]
4116
4117    *Matt Caswell*
4118
4119  * Constant time flag not preserved in DSA signing
4120
4121    Operations in the DSA signing algorithm should run in constant time in
4122    order to avoid side channel attacks. A flaw in the OpenSSL DSA
4123    implementation means that a non-constant time codepath is followed for
4124    certain operations. This has been demonstrated through a cache-timing
4125    attack to be sufficient for an attacker to recover the private DSA key.
4126
4127    This issue was reported by César Pereida (Aalto University), Billy Brumley
4128    (Tampere University of Technology), and Yuval Yarom (The University of
4129    Adelaide and NICTA).
4130    [CVE-2016-2178][]
4131
4132    *César Pereida*
4133
4134  * DTLS buffered message DoS
4135
4136    In a DTLS connection where handshake messages are delivered out-of-order
4137    those messages that OpenSSL is not yet ready to process will be buffered
4138    for later use. Under certain circumstances, a flaw in the logic means that
4139    those messages do not get removed from the buffer even though the handshake
4140    has been completed. An attacker could force up to approx. 15 messages to
4141    remain in the buffer when they are no longer required. These messages will
4142    be cleared when the DTLS connection is closed. The default maximum size for
4143    a message is 100k. Therefore the attacker could force an additional 1500k
4144    to be consumed per connection. By opening many simulataneous connections an
4145    attacker could cause a DoS attack through memory exhaustion.
4146
4147    This issue was reported to OpenSSL by Quan Luo.
4148    [CVE-2016-2179][]
4149
4150    *Matt Caswell*
4151
4152  * DTLS replay protection DoS
4153
4154    A flaw in the DTLS replay attack protection mechanism means that records
4155    that arrive for future epochs update the replay protection "window" before
4156    the MAC for the record has been validated. This could be exploited by an
4157    attacker by sending a record for the next epoch (which does not have to
4158    decrypt or have a valid MAC), with a very large sequence number. This means
4159    that all subsequent legitimate packets are dropped causing a denial of
4160    service for a specific DTLS connection.
4161
4162    This issue was reported to OpenSSL by the OCAP audit team.
4163    [CVE-2016-2181][]
4164
4165    *Matt Caswell*
4166
4167  * Certificate message OOB reads
4168
4169    In OpenSSL 1.0.2 and earlier some missing message length checks can result
4170    in OOB reads of up to 2 bytes beyond an allocated buffer. There is a
4171    theoretical DoS risk but this has not been observed in practice on common
4172    platforms.
4173
4174    The messages affected are client certificate, client certificate request
4175    and server certificate. As a result the attack can only be performed
4176    against a client or a server which enables client authentication.
4177
4178    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
4179    [CVE-2016-6306][]
4180
4181    *Stephen Henson*
4182
4183 ### Changes between 1.0.2g and 1.0.2h [3 May 2016]
4184
4185  * Prevent padding oracle in AES-NI CBC MAC check
4186
4187    A MITM attacker can use a padding oracle attack to decrypt traffic
4188    when the connection uses an AES CBC cipher and the server support
4189    AES-NI.
4190
4191    This issue was introduced as part of the fix for Lucky 13 padding
4192    attack [CVE-2013-0169][]. The padding check was rewritten to be in
4193    constant time by making sure that always the same bytes are read and
4194    compared against either the MAC or padding bytes. But it no longer
4195    checked that there was enough data to have both the MAC and padding
4196    bytes.
4197
4198    This issue was reported by Juraj Somorovsky using TLS-Attacker.
4199    [CVE-2016-2107][]
4200
4201    *Kurt Roeckx*
4202
4203  * Fix EVP_EncodeUpdate overflow
4204
4205    An overflow can occur in the EVP_EncodeUpdate() function which is used for
4206    Base64 encoding of binary data. If an attacker is able to supply very large
4207    amounts of input data then a length check can overflow resulting in a heap
4208    corruption.
4209
4210    Internally to OpenSSL the EVP_EncodeUpdate() function is primarily used by
4211    the `PEM_write_bio*` family of functions. These are mainly used within the
4212    OpenSSL command line applications, so any application which processes data
4213    from an untrusted source and outputs it as a PEM file should be considered
4214    vulnerable to this issue. User applications that call these APIs directly
4215    with large amounts of untrusted data may also be vulnerable.
4216
4217    This issue was reported by Guido Vranken.
4218    [CVE-2016-2105][]
4219
4220    *Matt Caswell*
4221
4222  * Fix EVP_EncryptUpdate overflow
4223
4224    An overflow can occur in the EVP_EncryptUpdate() function. If an attacker
4225    is able to supply very large amounts of input data after a previous call to
4226    EVP_EncryptUpdate() with a partial block then a length check can overflow
4227    resulting in a heap corruption. Following an analysis of all OpenSSL
4228    internal usage of the EVP_EncryptUpdate() function all usage is one of two
4229    forms. The first form is where the EVP_EncryptUpdate() call is known to be
4230    the first called function after an EVP_EncryptInit(), and therefore that
4231    specific call must be safe. The second form is where the length passed to
4232    EVP_EncryptUpdate() can be seen from the code to be some small value and
4233    therefore there is no possibility of an overflow. Since all instances are
4234    one of these two forms, it is believed that there can be no overflows in
4235    internal code due to this problem. It should be noted that
4236    EVP_DecryptUpdate() can call EVP_EncryptUpdate() in certain code paths.
4237    Also EVP_CipherUpdate() is a synonym for EVP_EncryptUpdate(). All instances
4238    of these calls have also been analysed too and it is believed there are no
4239    instances in internal usage where an overflow could occur.
4240
4241    This issue was reported by Guido Vranken.
4242    [CVE-2016-2106][]
4243
4244    *Matt Caswell*
4245
4246  * Prevent ASN.1 BIO excessive memory allocation
4247
4248    When ASN.1 data is read from a BIO using functions such as d2i_CMS_bio()
4249    a short invalid encoding can cause allocation of large amounts of memory
4250    potentially consuming excessive resources or exhausting memory.
4251
4252    Any application parsing untrusted data through d2i BIO functions is
4253    affected. The memory based functions such as d2i_X509() are *not* affected.
4254    Since the memory based functions are used by the TLS library, TLS
4255    applications are not affected.
4256
4257    This issue was reported by Brian Carpenter.
4258    [CVE-2016-2109][]
4259
4260    *Stephen Henson*
4261
4262  * EBCDIC overread
4263
4264    ASN1 Strings that are over 1024 bytes can cause an overread in applications
4265    using the X509_NAME_oneline() function on EBCDIC systems. This could result
4266    in arbitrary stack data being returned in the buffer.
4267
4268    This issue was reported by Guido Vranken.
4269    [CVE-2016-2176][]
4270
4271    *Matt Caswell*
4272
4273  * Modify behavior of ALPN to invoke callback after SNI/servername
4274    callback, such that updates to the SSL_CTX affect ALPN.
4275
4276    *Todd Short*
4277
4278  * Remove LOW from the DEFAULT cipher list.  This removes singles DES from the
4279    default.
4280
4281    *Kurt Roeckx*
4282
4283  * Only remove the SSLv2 methods with the no-ssl2-method option. When the
4284    methods are enabled and ssl2 is disabled the methods return NULL.
4285
4286    *Kurt Roeckx*
4287
4288 ### Changes between 1.0.2f and 1.0.2g [1 Mar 2016]
4289
4290 * Disable weak ciphers in SSLv3 and up in default builds of OpenSSL.
4291   Builds that are not configured with "enable-weak-ssl-ciphers" will not
4292   provide any "EXPORT" or "LOW" strength ciphers.
4293
4294   *Viktor Dukhovni*
4295
4296 * Disable SSLv2 default build, default negotiation and weak ciphers.  SSLv2
4297   is by default disabled at build-time.  Builds that are not configured with
4298   "enable-ssl2" will not support SSLv2.  Even if "enable-ssl2" is used,
4299   users who want to negotiate SSLv2 via the version-flexible SSLv23_method()
4300   will need to explicitly call either of:
4301
4302       SSL_CTX_clear_options(ctx, SSL_OP_NO_SSLv2);
4303   or
4304       SSL_clear_options(ssl, SSL_OP_NO_SSLv2);
4305
4306   as appropriate.  Even if either of those is used, or the application
4307   explicitly uses the version-specific SSLv2_method() or its client and
4308   server variants, SSLv2 ciphers vulnerable to exhaustive search key
4309   recovery have been removed.  Specifically, the SSLv2 40-bit EXPORT
4310   ciphers, and SSLv2 56-bit DES are no longer available.
4311   [CVE-2016-0800][]
4312
4313    *Viktor Dukhovni*
4314
4315  * Fix a double-free in DSA code
4316
4317    A double free bug was discovered when OpenSSL parses malformed DSA private
4318    keys and could lead to a DoS attack or memory corruption for applications
4319    that receive DSA private keys from untrusted sources.  This scenario is
4320    considered rare.
4321
4322    This issue was reported to OpenSSL by Adam Langley(Google/BoringSSL) using
4323    libFuzzer.
4324    [CVE-2016-0705][]
4325
4326    *Stephen Henson*
4327
4328  * Disable SRP fake user seed to address a server memory leak.
4329
4330    Add a new method SRP_VBASE_get1_by_user that handles the seed properly.
4331
4332    SRP_VBASE_get_by_user had inconsistent memory management behaviour.
4333    In order to fix an unavoidable memory leak, SRP_VBASE_get_by_user
4334    was changed to ignore the "fake user" SRP seed, even if the seed
4335    is configured.
4336
4337    Users should use SRP_VBASE_get1_by_user instead. Note that in
4338    SRP_VBASE_get1_by_user, caller must free the returned value. Note
4339    also that even though configuring the SRP seed attempts to hide
4340    invalid usernames by continuing the handshake with fake
4341    credentials, this behaviour is not constant time and no strong
4342    guarantees are made that the handshake is indistinguishable from
4343    that of a valid user.
4344    [CVE-2016-0798][]
4345
4346    *Emilia Käsper*
4347
4348  * Fix BN_hex2bn/BN_dec2bn NULL pointer deref/heap corruption
4349
4350    In the BN_hex2bn function the number of hex digits is calculated using an
4351    int value |i|. Later |bn_expand| is called with a value of |i * 4|. For
4352    large values of |i| this can result in |bn_expand| not allocating any
4353    memory because |i * 4| is negative. This can leave the internal BIGNUM data
4354    field as NULL leading to a subsequent NULL ptr deref. For very large values
4355    of |i|, the calculation |i * 4| could be a positive value smaller than |i|.
4356    In this case memory is allocated to the internal BIGNUM data field, but it
4357    is insufficiently sized leading to heap corruption. A similar issue exists
4358    in BN_dec2bn. This could have security consequences if BN_hex2bn/BN_dec2bn
4359    is ever called by user applications with very large untrusted hex/dec data.
4360    This is anticipated to be a rare occurrence.
4361
4362    All OpenSSL internal usage of these functions use data that is not expected
4363    to be untrusted, e.g. config file data or application command line
4364    arguments. If user developed applications generate config file data based
4365    on untrusted data then it is possible that this could also lead to security
4366    consequences. This is also anticipated to be rare.
4367
4368    This issue was reported to OpenSSL by Guido Vranken.
4369    [CVE-2016-0797][]
4370
4371    *Matt Caswell*
4372
4373  * Fix memory issues in `BIO_*printf` functions
4374
4375    The internal |fmtstr| function used in processing a "%s" format string in
4376    the `BIO_*printf` functions could overflow while calculating the length of a
4377    string and cause an OOB read when printing very long strings.
4378
4379    Additionally the internal |doapr_outch| function can attempt to write to an
4380    OOB memory location (at an offset from the NULL pointer) in the event of a
4381    memory allocation failure. In 1.0.2 and below this could be caused where
4382    the size of a buffer to be allocated is greater than INT_MAX. E.g. this
4383    could be in processing a very long "%s" format string. Memory leaks can
4384    also occur.
4385
4386    The first issue may mask the second issue dependent on compiler behaviour.
4387    These problems could enable attacks where large amounts of untrusted data
4388    is passed to the `BIO_*printf` functions. If applications use these functions
4389    in this way then they could be vulnerable. OpenSSL itself uses these
4390    functions when printing out human-readable dumps of ASN.1 data. Therefore
4391    applications that print this data could be vulnerable if the data is from
4392    untrusted sources. OpenSSL command line applications could also be
4393    vulnerable where they print out ASN.1 data, or if untrusted data is passed
4394    as command line arguments.
4395
4396    Libssl is not considered directly vulnerable. Additionally certificates etc
4397    received via remote connections via libssl are also unlikely to be able to
4398    trigger these issues because of message size limits enforced within libssl.
4399
4400    This issue was reported to OpenSSL Guido Vranken.
4401    [CVE-2016-0799][]
4402
4403    *Matt Caswell*
4404
4405  * Side channel attack on modular exponentiation
4406
4407    A side-channel attack was found which makes use of cache-bank conflicts on
4408    the Intel Sandy-Bridge microarchitecture which could lead to the recovery
4409    of RSA keys.  The ability to exploit this issue is limited as it relies on
4410    an attacker who has control of code in a thread running on the same
4411    hyper-threaded core as the victim thread which is performing decryptions.
4412
4413    This issue was reported to OpenSSL by Yuval Yarom, The University of
4414    Adelaide and NICTA, Daniel Genkin, Technion and Tel Aviv University, and
4415    Nadia Heninger, University of Pennsylvania with more information at
4416    <http://cachebleed.info>.
4417    [CVE-2016-0702][]
4418
4419    *Andy Polyakov*
4420
4421  * Change the req app to generate a 2048-bit RSA/DSA key by default,
4422    if no keysize is specified with default_bits. This fixes an
4423    omission in an earlier change that changed all RSA/DSA key generation
4424    apps to use 2048 bits by default.
4425
4426    *Emilia Käsper*
4427
4428 ### Changes between 1.0.2e and 1.0.2f [28 Jan 2016]
4429
4430  * DH small subgroups
4431
4432    Historically OpenSSL only ever generated DH parameters based on "safe"
4433    primes. More recently (in version 1.0.2) support was provided for
4434    generating X9.42 style parameter files such as those required for RFC 5114
4435    support. The primes used in such files may not be "safe". Where an
4436    application is using DH configured with parameters based on primes that are
4437    not "safe" then an attacker could use this fact to find a peer's private
4438    DH exponent. This attack requires that the attacker complete multiple
4439    handshakes in which the peer uses the same private DH exponent. For example
4440    this could be used to discover a TLS server's private DH exponent if it's
4441    reusing the private DH exponent or it's using a static DH ciphersuite.
4442
4443    OpenSSL provides the option SSL_OP_SINGLE_DH_USE for ephemeral DH (DHE) in
4444    TLS. It is not on by default. If the option is not set then the server
4445    reuses the same private DH exponent for the life of the server process and
4446    would be vulnerable to this attack. It is believed that many popular
4447    applications do set this option and would therefore not be at risk.
4448
4449    The fix for this issue adds an additional check where a "q" parameter is
4450    available (as is the case in X9.42 based parameters). This detects the
4451    only known attack, and is the only possible defense for static DH
4452    ciphersuites. This could have some performance impact.
4453
4454    Additionally the SSL_OP_SINGLE_DH_USE option has been switched on by
4455    default and cannot be disabled. This could have some performance impact.
4456
4457    This issue was reported to OpenSSL by Antonio Sanso (Adobe).
4458    [CVE-2016-0701][]
4459
4460    *Matt Caswell*
4461
4462  * SSLv2 doesn't block disabled ciphers
4463
4464    A malicious client can negotiate SSLv2 ciphers that have been disabled on
4465    the server and complete SSLv2 handshakes even if all SSLv2 ciphers have
4466    been disabled, provided that the SSLv2 protocol was not also disabled via
4467    SSL_OP_NO_SSLv2.
4468
4469    This issue was reported to OpenSSL on 26th December 2015 by Nimrod Aviram
4470    and Sebastian Schinzel.
4471    [CVE-2015-3197][]
4472
4473    *Viktor Dukhovni*
4474
4475 ### Changes between 1.0.2d and 1.0.2e [3 Dec 2015]
4476
4477  * BN_mod_exp may produce incorrect results on x86_64
4478
4479    There is a carry propagating bug in the x86_64 Montgomery squaring
4480    procedure. No EC algorithms are affected. Analysis suggests that attacks
4481    against RSA and DSA as a result of this defect would be very difficult to
4482    perform and are not believed likely. Attacks against DH are considered just
4483    feasible (although very difficult) because most of the work necessary to
4484    deduce information about a private key may be performed offline. The amount
4485    of resources required for such an attack would be very significant and
4486    likely only accessible to a limited number of attackers. An attacker would
4487    additionally need online access to an unpatched system using the target
4488    private key in a scenario with persistent DH parameters and a private
4489    key that is shared between multiple clients. For example this can occur by
4490    default in OpenSSL DHE based SSL/TLS ciphersuites.
4491
4492    This issue was reported to OpenSSL by Hanno Böck.
4493    [CVE-2015-3193][]
4494
4495    *Andy Polyakov*
4496
4497  * Certificate verify crash with missing PSS parameter
4498
4499    The signature verification routines will crash with a NULL pointer
4500    dereference if presented with an ASN.1 signature using the RSA PSS
4501    algorithm and absent mask generation function parameter. Since these
4502    routines are used to verify certificate signature algorithms this can be
4503    used to crash any certificate verification operation and exploited in a
4504    DoS attack. Any application which performs certificate verification is
4505    vulnerable including OpenSSL clients and servers which enable client
4506    authentication.
4507
4508    This issue was reported to OpenSSL by Loïc Jonas Etienne (Qnective AG).
4509    [CVE-2015-3194][]
4510
4511    *Stephen Henson*
4512
4513  * X509_ATTRIBUTE memory leak
4514
4515    When presented with a malformed X509_ATTRIBUTE structure OpenSSL will leak
4516    memory. This structure is used by the PKCS#7 and CMS routines so any
4517    application which reads PKCS#7 or CMS data from untrusted sources is
4518    affected. SSL/TLS is not affected.
4519
4520    This issue was reported to OpenSSL by Adam Langley (Google/BoringSSL) using
4521    libFuzzer.
4522    [CVE-2015-3195][]
4523
4524    *Stephen Henson*
4525
4526  * Rewrite EVP_DecodeUpdate (base64 decoding) to fix several bugs.
4527    This changes the decoding behaviour for some invalid messages,
4528    though the change is mostly in the more lenient direction, and
4529    legacy behaviour is preserved as much as possible.
4530
4531    *Emilia Käsper*
4532
4533  * In DSA_generate_parameters_ex, if the provided seed is too short,
4534    return an error
4535
4536    *Rich Salz and Ismo Puustinen <ismo.puustinen@intel.com>*
4537
4538 ### Changes between 1.0.2c and 1.0.2d [9 Jul 2015]
4539
4540  * Alternate chains certificate forgery
4541
4542    During certificate verification, OpenSSL will attempt to find an
4543    alternative certificate chain if the first attempt to build such a chain
4544    fails. An error in the implementation of this logic can mean that an
4545    attacker could cause certain checks on untrusted certificates to be
4546    bypassed, such as the CA flag, enabling them to use a valid leaf
4547    certificate to act as a CA and "issue" an invalid certificate.
4548
4549    This issue was reported to OpenSSL by Adam Langley/David Benjamin
4550    (Google/BoringSSL).
4551
4552    *Matt Caswell*
4553
4554 ### Changes between 1.0.2b and 1.0.2c [12 Jun 2015]
4555
4556  * Fix HMAC ABI incompatibility. The previous version introduced an ABI
4557    incompatibility in the handling of HMAC. The previous ABI has now been
4558    restored.
4559
4560    *Matt Caswell*
4561
4562 ### Changes between 1.0.2a and 1.0.2b [11 Jun 2015]
4563
4564  * Malformed ECParameters causes infinite loop
4565
4566    When processing an ECParameters structure OpenSSL enters an infinite loop
4567    if the curve specified is over a specially malformed binary polynomial
4568    field.
4569
4570    This can be used to perform denial of service against any
4571    system which processes public keys, certificate requests or
4572    certificates.  This includes TLS clients and TLS servers with
4573    client authentication enabled.
4574
4575    This issue was reported to OpenSSL by Joseph Barr-Pixton.
4576    [CVE-2015-1788][]
4577
4578    *Andy Polyakov*
4579
4580  * Exploitable out-of-bounds read in X509_cmp_time
4581
4582    X509_cmp_time does not properly check the length of the ASN1_TIME
4583    string and can read a few bytes out of bounds. In addition,
4584    X509_cmp_time accepts an arbitrary number of fractional seconds in the
4585    time string.
4586
4587    An attacker can use this to craft malformed certificates and CRLs of
4588    various sizes and potentially cause a segmentation fault, resulting in
4589    a DoS on applications that verify certificates or CRLs. TLS clients
4590    that verify CRLs are affected. TLS clients and servers with client
4591    authentication enabled may be affected if they use custom verification
4592    callbacks.
4593
4594    This issue was reported to OpenSSL by Robert Swiecki (Google), and
4595    independently by Hanno Böck.
4596    [CVE-2015-1789][]
4597
4598    *Emilia Käsper*
4599
4600  * PKCS7 crash with missing EnvelopedContent
4601
4602    The PKCS#7 parsing code does not handle missing inner EncryptedContent
4603    correctly. An attacker can craft malformed ASN.1-encoded PKCS#7 blobs
4604    with missing content and trigger a NULL pointer dereference on parsing.
4605
4606    Applications that decrypt PKCS#7 data or otherwise parse PKCS#7
4607    structures from untrusted sources are affected. OpenSSL clients and
4608    servers are not affected.
4609
4610    This issue was reported to OpenSSL by Michal Zalewski (Google).
4611    [CVE-2015-1790][]
4612
4613    *Emilia Käsper*
4614
4615  * CMS verify infinite loop with unknown hash function
4616
4617    When verifying a signedData message the CMS code can enter an infinite loop
4618    if presented with an unknown hash function OID. This can be used to perform
4619    denial of service against any system which verifies signedData messages using
4620    the CMS code.
4621    This issue was reported to OpenSSL by Johannes Bauer.
4622    [CVE-2015-1792][]
4623
4624    *Stephen Henson*
4625
4626  * Race condition handling NewSessionTicket
4627
4628    If a NewSessionTicket is received by a multi-threaded client when attempting to
4629    reuse a previous ticket then a race condition can occur potentially leading to
4630    a double free of the ticket data.
4631    [CVE-2015-1791][]
4632
4633    *Matt Caswell*
4634
4635  * Only support 256-bit or stronger elliptic curves with the