doc: add missing CHANGES entries for all versions >= 1.0.0
[openssl.git] / CHANGES.md
1 OpenSSL CHANGES
2 ===============
3
4 This is a high-level summary of the most important changes.
5 For a full list of changes, see the [git commit log][log] and
6 pick the appropriate release branch.
7
8   [log]: https://github.com/openssl/openssl/commits/
9
10
11 OpenSSL Releases
12 ----------------
13
14  - [OpenSSL 3.0](#openssl-30)
15  - [OpenSSL 1.1.1](#openssl-111)
16  - [OpenSSL 1.1.0](#openssl-110)
17  - [OpenSSL 1.0.2](#openssl-102)
18  - [OpenSSL 1.0.1](#openssl-101)
19  - [OpenSSL 1.0.0](#openssl-100)
20  - [OpenSSL 0.9.x](#openssl-09x)
21
22 OpenSSL 3.0
23 -----------
24
25 ### Changes between 1.1.1 and 3.0 [xx XXX xxxx] ###
26
27  * The test suite is changed to preserve results of each test recipe.
28    A new directory test-runs/ with subdirectories named like the
29    test recipes are created in the build tree for this purpose.
30
31    *Richard Levitte*
32
33  * The command line utilities ecparam and ec have been deprecated.  Instead
34    use the pkeyparam, pkey and genpkey programs.
35
36    *Paul Dale*
37
38  * All of the low level RSA functions have been deprecated including:
39
40    RSA_new_method, RSA_bits, RSA_size, RSA_security_bits,
41    RSA_get0_pss_params, RSA_get_version, RSA_get0_engine,
42    RSA_generate_key_ex, RSA_generate_multi_prime_key,
43    RSA_X931_derive_ex, RSA_X931_generate_key_ex, RSA_check_key,
44    RSA_check_key_ex, RSA_public_encrypt, RSA_private_encrypt,
45    RSA_public_decrypt, RSA_private_decrypt, RSA_set_default_method,
46    RSA_get_default_method, RSA_null_method, RSA_get_method, RSA_set_method,
47    RSA_PKCS1_OpenSSL, RSA_print_fp, RSA_print, RSA_sign, RSA_verify,
48    RSA_sign_ASN1_OCTET_STRING, RSA_verify_ASN1_OCTET_STRING,
49    RSA_blinding_on, RSA_blinding_off, RSA_setup_blinding,
50    RSA_padding_add_PKCS1_type_1, RSA_padding_check_PKCS1_type_1,
51    RSA_padding_add_PKCS1_type_2, RSA_padding_check_PKCS1_type_2,
52    PKCS1_MGF1, RSA_padding_add_PKCS1_OAEP, RSA_padding_check_PKCS1_OAEP,
53    RSA_padding_add_PKCS1_OAEP_mgf1, RSA_padding_check_PKCS1_OAEP_mgf1,
54    RSA_padding_add_SSLv23, RSA_padding_check_SSLv23,
55    RSA_padding_add_none, RSA_padding_check_none, RSA_padding_add_X931,
56    RSA_padding_check_X931, RSA_X931_hash_id, RSA_verify_PKCS1_PSS,
57    RSA_padding_add_PKCS1_PSS, RSA_verify_PKCS1_PSS_mgf1,
58    RSA_padding_add_PKCS1_PSS_mgf1, RSA_set_ex_data, RSA_get_ex_data,
59    RSA_meth_new, RSA_meth_free, RSA_meth_dup, RSA_meth_get0_name,
60    RSA_meth_set1_name, RSA_meth_get_flags, RSA_meth_set_flags,
61    RSA_meth_get0_app_data, RSA_meth_set0_app_data, RSA_meth_get_pub_enc,
62    RSA_meth_set_pub_enc, RSA_meth_get_pub_dec, RSA_meth_set_pub_dec,
63    RSA_meth_get_priv_enc, RSA_meth_set_priv_enc, RSA_meth_get_priv_dec,
64    RSA_meth_set_priv_dec, RSA_meth_get_mod_exp, RSA_meth_set_mod_exp,
65    RSA_meth_get_bn_mod_exp, RSA_meth_set_bn_mod_exp, RSA_meth_get_init,
66    RSA_meth_set_init, RSA_meth_get_finish, RSA_meth_set_finish,
67    RSA_meth_get_sign, RSA_meth_set_sign, RSA_meth_get_verify,
68    RSA_meth_set_verify, RSA_meth_get_keygen, RSA_meth_set_keygen,
69    RSA_meth_get_multi_prime_keygen and RSA_meth_set_multi_prime_keygen.
70
71    Use of these low level functions has been informally discouraged for a long
72    time.  Instead applications should use L<EVP_PKEY_encrypt_init(3)>,
73    L<EVP_PKEY_encrypt(3)>, L<EVP_PKEY_decrypt_init(3)> and
74    L<EVP_PKEY_decrypt(3)>.
75
76    *Paul Dale*
77
78  * X509 certificates signed using SHA1 are no longer allowed at security
79    level 1 and above.
80    In TLS/SSL the default security level is 1. It can be set either
81    using the cipher string with @SECLEVEL, or calling
82    SSL_CTX_set_security_level(). If the leaf certificate is signed with SHA-1,
83    a call to SSL_CTX_use_certificate() will fail if the security level is not
84    lowered first.
85    Outside TLS/SSL, the default security level is -1 (effectively 0). It can
86    be set using X509_VERIFY_PARAM_set_auth_level() or using the -auth_level
87    options of the apps.
88
89    *Kurt Roeckx*
90
91  * The command line utilities dhparam, dsa, gendsa and dsaparam have been
92    deprecated.  Instead use the pkeyparam, pkey, genpkey and pkeyparam
93    programs respectively.
94
95    *Paul Dale*
96
97  * All of the low level DH functions have been deprecated including:
98
99    DH_OpenSSL, DH_set_default_method, DH_get_default_method, DH_set_method,
100    DH_new_method, DH_bits, DH_size, DH_security_bits, DH_get_ex_new_index,
101    DH_set_ex_data, DH_get_ex_data, DH_generate_parameters_ex,
102    DH_check_params_ex, DH_check_ex, DH_check_pub_key_ex,
103    DH_check, DH_check_pub_key, DH_generate_key, DH_compute_key,
104    DH_compute_key_padded, DHparams_print_fp, DHparams_print, DH_get_nid,
105    DH_KDF_X9_42, DH_get0_engine, DH_get_length, DH_set_length, DH_meth_new,
106    DH_meth_free, DH_meth_dup, DH_meth_get0_name, DH_meth_set1_name,
107    DH_meth_get_flags, DH_meth_set_flags, DH_meth_get0_app_data,
108    DH_meth_set0_app_data, DH_meth_get_generate_key,
109    DH_meth_set_generate_key, DH_meth_get_compute_key,
110    DH_meth_set_compute_key, DH_meth_get_bn_mod_exp,
111    DH_meth_set_bn_mod_exp, DH_meth_get_init, DH_meth_set_init,
112    DH_meth_get_finish, DH_meth_set_finish, DH_meth_get_generate_params
113    and DH_meth_set_generate_params.
114
115    Use of these low level functions has been informally discouraged for a long
116    time.  Instead applications should use L<EVP_PKEY_derive_init(3)>
117    and L<EVP_PKEY_derive(3)>.
118
119    *Paul Dale*
120
121  * All of the low level DSA functions have been deprecated including:
122
123    DSA_do_sign, DSA_do_verify, DSA_OpenSSL, DSA_set_default_method,
124    DSA_get_default_method, DSA_set_method, DSA_get_method, DSA_new_method,
125    DSA_sign_setup, DSA_sign, DSA_verify, DSA_get_ex_new_index,
126    DSA_set_ex_data, DSA_get_ex_data, DSA_generate_parameters_ex,
127    DSA_generate_key, DSA_meth_new, DSA_get0_engine, DSA_meth_free,
128    DSA_meth_dup, DSA_meth_get0_name, DSA_meth_set1_name, DSA_meth_get_flags,
129    DSA_meth_set_flags, DSA_meth_get0_app_data, DSA_meth_set0_app_data,
130    DSA_meth_get_sign, DSA_meth_set_sign, DSA_meth_get_sign_setup,
131    DSA_meth_set_sign_setup, DSA_meth_get_verify, DSA_meth_set_verify,
132    DSA_meth_get_mod_exp, DSA_meth_set_mod_exp, DSA_meth_get_bn_mod_exp,
133    DSA_meth_set_bn_mod_exp, DSA_meth_get_init, DSA_meth_set_init,
134    DSA_meth_get_finish, DSA_meth_set_finish, DSA_meth_get_paramgen,
135    DSA_meth_set_paramgen, DSA_meth_get_keygen and DSA_meth_set_keygen.
136
137    Use of these low level functions has been informally discouraged for a long
138    time.  Instead applications should use L<EVP_DigestSignInit_ex(3)>,
139    L<EVP_DigestSignUpdate(3)> and L<EVP_DigestSignFinal(3)>.
140
141    *Paul Dale*
142
143  * Reworked the treatment of EC EVP_PKEYs with the SM2 curve to
144    automatically become EVP_PKEY_SM2 rather than EVP_PKEY_EC.
145    This means that applications don't have to look at the curve NID and
146    `EVP_PKEY_set_alias_type(pkey, EVP_PKEY_SM2)` to get SM2 computations.
147    However, they still can, that EVP_PKEY_set_alias_type() call acts as
148    a no-op when the EVP_PKEY is already of the given type.
149
150    Parameter and key generation is also reworked to make it possible
151    to generate EVP_PKEY_SM2 parameters and keys without having to go
152    through EVP_PKEY_EC generation and then change the EVP_PKEY type.
153    However, code that does the latter will still work as before.
154
155    *Richard Levitte*
156
157  * Deprecated low level ECDH and ECDSA functions.  These include:
158
159    ECDH_compute_key, ECDSA_do_sign, ECDSA_do_sign_ex, ECDSA_do_verify,
160    ECDSA_sign_setup, ECDSA_sign, ECDSA_sign_ex, ECDSA_verify and
161    ECDSA_size.
162
163    Use of these low level functions has been informally discouraged for a long
164    time.  Instead applications should use the EVP_PKEY_derive(3),
165    EVP_DigestSign(3) and EVP_DigestVerify(3) functions.
166
167    *Paul Dale*
168
169  * Deprecated the EC_KEY_METHOD functions.  These include:
170
171    EC_KEY_METHOD_new, EC_KEY_METHOD_free, EC_KEY_METHOD_set_init,
172    EC_KEY_METHOD_set_keygen, EC_KEY_METHOD_set_compute_key,
173    EC_KEY_METHOD_set_sign, EC_KEY_METHOD_set_verify,
174    EC_KEY_METHOD_get_init, EC_KEY_METHOD_get_keygen,
175    EC_KEY_METHOD_get_compute_key, EC_KEY_METHOD_get_sign and
176    EC_KEY_METHOD_get_verify.
177
178    Instead applications and extension writers should use the OSSL_PROVIDER APIs.
179
180    *Paul Dale*
181
182  * Deprecated EVP_PKEY_decrypt_old(), please use EVP_PKEY_decrypt_init()
183    and EVP_PKEY_decrypt() instead.
184    Deprecated EVP_PKEY_encrypt_old(), please use EVP_PKEY_encrypt_init()
185    and EVP_PKEY_encrypt() instead.
186
187    *Richard Levitte*
188
189  * Enhanced the documentation of EVP_PKEY_size(), EVP_PKEY_bits()
190    and EVP_PKEY_security_bits().  Especially EVP_PKEY_size() needed
191    a new formulation to include all the things it can be used for,
192    as well as words of caution.
193
194    *Richard Levitte*
195
196  * The SSL_CTX_set_tlsext_ticket_key_cb(3) function has been deprecated.
197    Instead used the new SSL_CTX_set_tlsext_ticket_key_evp_cb(3) function.
198
199    *Paul Dale*
200
201  * All of the low level HMAC functions have been deprecated including:
202
203    HMAC, HMAC_size, HMAC_CTX_new, HMAC_CTX_reset, HMAC_CTX_free,
204    HMAC_Init_ex, HMAC_Update, HMAC_Final, HMAC_CTX_copy, HMAC_CTX_set_flags
205    and HMAC_CTX_get_md.
206
207    Use of these low level functions has been informally discouraged for a long
208    time.  Instead applications should use L<EVP_MAC_CTX_new(3)>,
209    L<EVP_MAC_CTX_free(3)>, L<EVP_MAC_init(3)>, L<EVP_MAC_update(3)>
210    and L<EVP_MAC_final(3)>.
211
212    *Paul Dale*
213
214  * Over two thousand fixes were made to the documentation, including:
215    - Common options (such as -rand/-writerand, TLS version control, etc)
216      were refactored and point to newly-enhanced descriptions in openssl.pod.
217    - Added style conformance for all options (with help from Richard Levitte),
218      documented all reported missing options, added a CI build to check
219      that all options are documented and that no unimplemented options
220      are documented.
221    - Documented some internals, such as all use of environment variables.
222    - Addressed all internal broken L<> references.
223
224    *Rich Salz*
225
226  * All of the low level CMAC functions have been deprecated including:
227
228    CMAC_CTX_new, CMAC_CTX_cleanup, CMAC_CTX_free, CMAC_CTX_get0_cipher_ctx,
229    CMAC_CTX_copy, CMAC_Init, CMAC_Update, CMAC_Final and CMAC_resume.
230
231    Use of these low level functions has been informally discouraged for a long
232    time.  Instead applications should use L<EVP_MAC_CTX_new(3)>,
233    L<EVP_MAC_CTX_free(3)>, L<EVP_MAC_init(3)>, L<EVP_MAC_update(3)>
234    and L<EVP_MAC_final(3)>.
235
236    *Paul Dale*
237
238  * All of the low level MD2, MD4, MD5, MDC2, RIPEMD160, SHA1, SHA224, SHA256,
239    SHA384, SHA512 and Whirlpool digest functions have been deprecated.
240    These include:
241
242    MD2, MD2_options, MD2_Init, MD2_Update, MD2_Final, MD4, MD4_Init,
243    MD4_Update, MD4_Final, MD4_Transform, MD5, MD5_Init, MD5_Update,
244    MD5_Final, MD5_Transform, MDC2, MDC2_Init, MDC2_Update, MDC2_Final,
245    RIPEMD160, RIPEMD160_Init, RIPEMD160_Update, RIPEMD160_Final,
246    RIPEMD160_Transform, SHA1_Init, SHA1_Update, SHA1_Final, SHA1_Transform,
247    SHA224_Init, SHA224_Update, SHA224_Final, SHA224_Transform, SHA256_Init,
248    SHA256_Update, SHA256_Final, SHA256_Transform, SHA384, SHA384_Init,
249    SHA384_Update, SHA384_Final, SHA512, SHA512_Init, SHA512_Update,
250    SHA512_Final, SHA512_Transform, WHIRLPOOL, WHIRLPOOL_Init,
251    WHIRLPOOL_Update, WHIRLPOOL_BitUpdate and WHIRLPOOL_Final.
252
253    Use of these low level functions has been informally discouraged
254    for a long time.  Applications should use the EVP_DigestInit_ex(3),
255    EVP_DigestUpdate(3) and EVP_DigestFinal_ex(3) functions instead.
256
257    *Paul Dale*
258
259  * Corrected the documentation of the return values from the EVP_DigestSign*
260    set of functions.  The documentation mentioned negative values for some
261    errors, but this was never the case, so the mention of negative values
262    was removed.
263
264    Code that followed the documentation and thereby check with something
265    like `EVP_DigestSignInit(...) <= 0` will continue to work undisturbed.
266
267    *Richard Levitte*
268
269  * All of the low level cipher functions have been deprecated including:
270
271    AES_options, AES_set_encrypt_key, AES_set_decrypt_key, AES_encrypt,
272    AES_decrypt, AES_ecb_encrypt, AES_cbc_encrypt, AES_cfb128_encrypt,
273    AES_cfb1_encrypt, AES_cfb8_encrypt, AES_ofb128_encrypt,
274    AES_wrap_key, AES_unwrap_key, BF_set_key, BF_encrypt, BF_decrypt,
275    BF_ecb_encrypt, BF_cbc_encrypt, BF_cfb64_encrypt, BF_ofb64_encrypt,
276    BF_options, Camellia_set_key, Camellia_encrypt, Camellia_decrypt,
277    Camellia_ecb_encrypt, Camellia_cbc_encrypt, Camellia_cfb128_encrypt,
278    Camellia_cfb1_encrypt, Camellia_cfb8_encrypt, Camellia_ofb128_encrypt,
279    Camellia_ctr128_encrypt, CAST_set_key, CAST_encrypt, CAST_decrypt,
280    CAST_ecb_encrypt, CAST_cbc_encrypt, CAST_cfb64_encrypt,
281    CAST_ofb64_encrypt, DES_options, DES_encrypt1, DES_encrypt2,
282    DES_encrypt3, DES_decrypt3, DES_cbc_encrypt, DES_ncbc_encrypt,
283    DES_pcbc_encrypt, DES_xcbc_encrypt, DES_cfb_encrypt, DES_cfb64_encrypt,
284    DES_ecb_encrypt, DES_ofb_encrypt, DES_ofb64_encrypt, DES_random_key,
285    DES_set_odd_parity, DES_check_key_parity, DES_is_weak_key, DES_set_key,
286    DES_key_sched, DES_set_key_checked, DES_set_key_unchecked,
287    DES_string_to_key, DES_string_to_2keys, DES_fixup_key_parity,
288    DES_ecb2_encrypt, DES_ede2_cbc_encrypt, DES_ede2_cfb64_encrypt,
289    DES_ede2_ofb64_encrypt, DES_ecb3_encrypt, DES_ede3_cbc_encrypt,
290    DES_ede3_cfb64_encrypt, DES_ede3_cfb_encrypt, DES_ede3_ofb64_encrypt,
291    DES_cbc_cksum, DES_quad_cksum, IDEA_encrypt, IDEA_options,
292    IDEA_ecb_encrypt, IDEA_set_encrypt_key, IDEA_set_decrypt_key,
293    IDEA_cbc_encrypt, IDEA_cfb64_encrypt, IDEA_ofb64_encrypt, RC2_set_key,
294    RC2_encrypt, RC2_decrypt, RC2_ecb_encrypt, RC2_cbc_encrypt,
295    RC2_cfb64_encrypt, RC2_ofb64_encrypt, RC4, RC4_options, RC4_set_key,
296    RC5_32_set_key, RC5_32_encrypt, RC5_32_decrypt, RC5_32_ecb_encrypt,
297    RC5_32_cbc_encrypt, RC5_32_cfb64_encrypt, RC5_32_ofb64_encrypt,
298    SEED_set_key, SEED_encrypt, SEED_decrypt, SEED_ecb_encrypt,
299    SEED_cbc_encrypt, SEED_cfb128_encrypt and SEED_ofb128_encrypt.
300
301    Use of these low level functions has been informally discouraged for
302    a long time. Applications should use the high level EVP APIs, e.g.
303    EVP_EncryptInit_ex, EVP_EncryptUpdate, EVP_EncryptFinal_ex, and the
304    equivalently named decrypt functions instead.
305
306    *Matt Caswell and Paul Dale*
307
308  * Removed include/openssl/opensslconf.h.in and replaced it with
309    include/openssl/configuration.h.in, which differs in not including
310    <openssl/macros.h>.  A short header include/openssl/opensslconf.h
311    was added to include both.
312
313    This allows internal hacks where one might need to modify the set
314    of configured macros, for example this if deprecated symbols are
315    still supposed to be available internally:
316
317        #include <openssl/configuration.h>
318
319        #undef OPENSSL_NO_DEPRECATED
320        #define OPENSSL_SUPPRESS_DEPRECATED
321
322        #include <openssl/macros.h>
323
324    This should not be used by applications that use the exported
325    symbols, as that will lead to linking errors.
326
327    *Richard Levitte*
328
329  * Fixed an overflow bug in the x64_64 Montgomery squaring procedure
330    used in exponentiation with 512-bit moduli. No EC algorithms are
331    affected. Analysis suggests that attacks against 2-prime RSA1024,
332    3-prime RSA1536, and DSA1024 as a result of this defect would be very
333    difficult to perform and are not believed likely. Attacks against DH512
334    are considered just feasible. However, for an attack the target would
335    have to re-use the DH512 private key, which is not recommended anyway.
336    Also applications directly using the low level API BN_mod_exp may be
337    affected if they use BN_FLG_CONSTTIME.
338    [CVE-2019-1551][]
339
340    *Andy Polyakov*
341
342  * Most memory-debug features have been deprecated, and the functionality
343    replaced with no-ops.
344
345    *Rich Salz*
346
347  * Introduced a new method type and API, OSSL_SERIALIZER, to
348    represent generic serializers.  An implementation is expected to
349    be able to serialize an object associated with a given name (such
350    as an algorithm name for an asymmetric key) into forms given by
351    implementation properties.
352
353    Serializers are primarily used from inside libcrypto, through
354    calls to functions like EVP_PKEY_print_private(),
355    PEM_write_bio_PrivateKey() and similar.
356
357    Serializers are specified in such a way that they can be made to
358    directly handle the provider side portion of an object, if this
359    provider side part comes from the same provider as the serializer
360    itself, but can also be made to handle objects in parametrized
361    form (as an OSSL_PARAM array of data).  This allows a provider to
362    offer generic serializers as a service for any other provider.
363
364    *Richard Levitte*
365
366  * Added a .pragma directive to the syntax of configuration files, to
367    allow varying behavior in a supported and predictable manner.
368    Currently added pragma:
369
370            .pragma dollarid:on
371
372    This allows dollar signs to be a keyword character unless it's
373    followed by a opening brace or parenthesis.  This is useful for
374    platforms where dollar signs are commonly used in names, such as
375    volume names and system directory names on VMS.
376
377    *Richard Levitte*
378
379  * Added functionality to create an EVP_PKEY from user data.  This
380    is effectively the same as creating a RSA, DH or DSA object and
381    then assigning them to an EVP_PKEY, but directly using algorithm
382    agnostic EVP functions.  A benefit is that this should be future
383    proof for public key algorithms to come.
384
385    *Richard Levitte*
386
387  * Change the interpretation of the '--api' configuration option to
388    mean that this is a desired API compatibility level with no
389    further meaning.  The previous interpretation, that this would
390    also mean to remove all deprecated symbols up to and including
391    the given version, no requires that 'no-deprecated' is also used
392    in the configuration.
393
394    When building applications, the desired API compatibility level
395    can be set with the OPENSSL_API_COMPAT macro like before.  For
396    API compatibility version below 3.0, the old style numerical
397    value is valid as before, such as -DOPENSSL_API_COMPAT=0x10100000L.
398    For version 3.0 and on, the value is expected to be the decimal
399    value calculated from the major and minor version like this:
400
401            MAJOR * 10000 + MINOR * 100
402
403    Examples:
404
405            -DOPENSSL_API_COMPAT=30000             For 3.0
406            -DOPENSSL_API_COMPAT=30200             For 3.2
407
408    To hide declarations that are deprecated up to and including the
409    given API compatibility level, -DOPENSSL_NO_DEPRECATED must be
410    given when building the application as well.
411
412    *Richard Levitte*
413
414  * Added the X509_LOOKUP_METHOD called X509_LOOKUP_store, to allow
415    access to certificate and CRL stores via URIs and OSSL_STORE
416    loaders.
417
418    This adds the following functions:
419
420    - X509_LOOKUP_store()
421    - X509_STORE_load_file()
422    - X509_STORE_load_path()
423    - X509_STORE_load_store()
424    - SSL_add_store_cert_subjects_to_stack()
425    - SSL_CTX_set_default_verify_store()
426    - SSL_CTX_load_verify_file()
427    - SSL_CTX_load_verify_dir()
428    - SSL_CTX_load_verify_store()
429
430    Also, the following functions are now deprecated:
431
432    - X509_STORE_load_locations() (use X509_STORE_load_file(),
433      X509_STORE_load_path() or X509_STORE_load_store() instead)
434    - SSL_CTX_load_verify_locations() (use SSL_CTX_load_verify_file(),
435      SSL_CTX_load_verify_dir() or SSL_CTX_load_verify_store() instead)
436
437    *Richard Levitte*
438
439  * Added a new method to gather entropy on VMS, based on SYS$GET_ENTROPY.
440    The presence of this system service is determined at run-time.
441
442    *Richard Levitte*
443
444  * Added functionality to create an EVP_PKEY context based on data
445    for methods from providers.  This takes an algorithm name and a
446    property query string and simply stores them, with the intent
447    that any operation that uses this context will use those strings
448    to fetch the needed methods implicitly, thereby making the port
449    of application written for pre-3.0 OpenSSL easier.
450
451    *Richard Levitte*
452
453  * The undocumented function NCONF_WIN32() has been deprecated; for
454    conversion details see the HISTORY section of doc/man5/config.pod
455
456    *Rich Salz*
457
458  * Introduced the new functions EVP_DigestSignInit_ex() and
459    EVP_DigestVerifyInit_ex(). The macros EVP_DigestSignUpdate() and
460    EVP_DigestVerifyUpdate() have been converted to functions. See the man
461    pages for further details.
462
463    *Matt Caswell*
464
465  * Over two thousand fixes were made to the documentation, including:
466    adding missing command flags, better style conformance, documentation
467    of internals, etc.
468
469    *Rich Salz, Richard Levitte*
470
471  * s390x assembly pack: add hardware-support for P-256, P-384, P-521,
472    X25519, X448, Ed25519 and Ed448.
473
474    *Patrick Steuer*
475
476  * Print all values for a PKCS#12 attribute with 'openssl pkcs12', not just
477    the first value.
478
479    *Jon Spillett*
480
481  * Deprecated the public definition of ERR_STATE as well as the function
482    ERR_get_state().  This is done in preparation of making ERR_STATE an
483    opaque type.
484
485    *Richard Levitte*
486
487  * Added ERR functionality to give callers access to the stored function
488    names that have replaced the older function code based functions.
489
490    New functions are ERR_get_error_func(), ERR_peek_error_func(),
491    ERR_peek_last_error_func(), ERR_get_error_data(), ERR_peek_error_data(),
492    ERR_peek_last_error_data(), ERR_get_error_all(), ERR_peek_error_all()
493    and ERR_peek_last_error_all().
494
495    These functions have become deprecated: ERR_get_error_line_data(),
496    ERR_peek_error_line_data(), ERR_peek_last_error_line_data() and
497    ERR_func_error_string().
498
499    *Richard Levitte*
500
501  * Extended testing to be verbose for failing tests only.  The make variables
502    VERBOSE_FAILURE or VF can be used to enable this:
503
504            $ make VF=1 test                           # Unix
505            $ mms /macro=(VF=1) test                   ! OpenVMS
506            $ nmake VF=1 test                          # Windows
507
508
509    *Richard Levitte*
510
511  * For built-in EC curves, ensure an EC_GROUP built from the curve name is
512    used even when parsing explicit parameters, when loading a serialized key
513    or calling `EC_GROUP_new_from_ecpkparameters()`/
514    `EC_GROUP_new_from_ecparameters()`.
515    This prevents bypass of security hardening and performance gains,
516    especially for curves with specialized EC_METHODs.
517    By default, if a key encoded with explicit parameters is loaded and later
518    serialized, the output is still encoded with explicit parameters, even if
519    internally a "named" EC_GROUP is used for computation.
520
521    *Nicola Tuveri*
522
523  * Compute ECC cofactors if not provided during EC_GROUP construction. Before
524    this change, EC_GROUP_set_generator would accept order and/or cofactor as
525    NULL. After this change, only the cofactor parameter can be NULL. It also
526    does some minimal sanity checks on the passed order.
527    [CVE-2019-1547][]
528
529    *Billy Bob Brumley*
530
531  * Fixed a padding oracle in PKCS7_dataDecode and CMS_decrypt_set1_pkey.
532    An attack is simple, if the first CMS_recipientInfo is valid but the
533    second CMS_recipientInfo is chosen ciphertext. If the second
534    recipientInfo decodes to PKCS #1 v1.5 form plaintext, the correct
535    encryption key will be replaced by garbage, and the message cannot be
536    decoded, but if the RSA decryption fails, the correct encryption key is
537    used and the recipient will not notice the attack.
538    As a work around for this potential attack the length of the decrypted
539    key must be equal to the cipher default key length, in case the
540    certifiate is not given and all recipientInfo are tried out.
541    The old behaviour can be re-enabled in the CMS code by setting the
542    CMS_DEBUG_DECRYPT flag.
543
544    *Bernd Edlinger*
545
546  * Early start up entropy quality from the DEVRANDOM seed source has been
547    improved for older Linux systems.  The RAND subsystem will wait for
548    /dev/random to be producing output before seeding from /dev/urandom.
549    The seeded state is stored for future library initialisations using
550    a system global shared memory segment.  The shared memory identifier
551    can be configured by defining OPENSSL_RAND_SEED_DEVRANDOM_SHM_ID to
552    the desired value.  The default identifier is 114.
553
554    *Paul Dale*
555
556  * Revised BN_generate_prime_ex to not avoid factors 2..17863 in p-1
557    when primes for RSA keys are computed.
558    Since we previously always generated primes == 2 (mod 3) for RSA keys,
559    the 2-prime and 3-prime RSA modules were easy to distinguish, since
560    N = p*q = 1 (mod 3), but N = p*q*r = 2 (mod 3). Therefore fingerprinting
561    2-prime vs. 3-prime RSA keys was possible by computing N mod 3.
562    This avoids possible fingerprinting of newly generated RSA modules.
563
564    *Bernd Edlinger*
565
566  * Correct the extended master secret constant on EBCDIC systems. Without this
567    fix TLS connections between an EBCDIC system and a non-EBCDIC system that
568    negotiate EMS will fail. Unfortunately this also means that TLS connections
569    between EBCDIC systems with this fix, and EBCDIC systems without this
570    fix will fail if they negotiate EMS.
571
572    *Matt Caswell*
573
574  * Changed the library initialisation so that the config file is now loaded
575    by default. This was already the case for libssl. It now occurs for both
576    libcrypto and libssl. Use the OPENSSL_INIT_NO_LOAD_CONFIG option to
577    OPENSSL_init_crypto() to suppress automatic loading of a config file.
578
579    *Matt Caswell*
580
581  * Introduced new error raising macros, ERR_raise() and ERR_raise_data(),
582    where the former acts as a replacement for ERR_put_error(), and the
583    latter replaces the combination ERR_put_error()+ERR_add_error_data().
584    ERR_raise_data() adds more flexibility by taking a format string and
585    an arbitrary number of arguments following it, to be processed with
586    BIO_snprintf().
587
588    *Richard Levitte*
589
590  * Introduced a new function, OSSL_PROVIDER_available(), which can be used
591    to check if a named provider is loaded and available.  When called, it
592    will also activate all fallback providers if such are still present.
593
594    *Richard Levitte*
595
596  * Enforce a minimum DH modulus size of 512 bits.
597
598    *Bernd Edlinger*
599
600  * Changed DH parameters to generate the order q subgroup instead of 2q.
601    Previously generated DH parameters are still accepted by DH_check
602    but DH_generate_key works around that by clearing bit 0 of the
603    private key for those. This avoids leaking bit 0 of the private key.
604
605    *Bernd Edlinger*
606
607  * Significantly reduce secure memory usage by the randomness pools.
608
609    *Paul Dale*
610
611  * {CRYPTO,OPENSSL}_mem_debug_{push,pop} are now no-ops and have been
612    deprecated.
613
614    *Rich Salz*
615
616  * A new type, EVP_KEYEXCH, has been introduced to represent key exchange
617    algorithms. An implementation of a key exchange algorithm can be obtained
618    by using the function EVP_KEYEXCH_fetch(). An EVP_KEYEXCH algorithm can be
619    used in a call to EVP_PKEY_derive_init_ex() which works in a similar way to
620    the older EVP_PKEY_derive_init() function. See the man pages for the new
621    functions for further details.
622
623    *Matt Caswell*
624
625  * The EVP_PKEY_CTX_set_dh_pad() macro has now been converted to a function.
626
627    *Matt Caswell*
628
629  * Removed the function names from error messages and deprecated the
630    xxx_F_xxx define's.
631
632  * Removed NextStep support and the macro OPENSSL_UNISTD
633
634    *Rich Salz*
635
636  * Removed DES_check_key.  Also removed OPENSSL_IMPLEMENT_GLOBAL,
637    OPENSSL_GLOBAL_REF, OPENSSL_DECLARE_GLOBAL.
638    Also removed "export var as function" capability; we do not export
639    variables, only functions.
640
641    *Rich Salz*
642
643  * RC5_32_set_key has been changed to return an int type, with 0 indicating
644    an error and 1 indicating success. In previous versions of OpenSSL this
645    was a void type. If a key was set longer than the maximum possible this
646    would crash.
647
648    *Matt Caswell*
649
650  * Support SM2 signing and verification schemes with X509 certificate.
651
652    *Paul Yang*
653
654  * Use SHA256 as the default digest for TS query in the ts app.
655
656    *Tomas Mraz*
657
658  * Change PBKDF2 to conform to SP800-132 instead of the older PKCS5 RFC2898.
659    This checks that the salt length is at least 128 bits, the derived key
660    length is at least 112 bits, and that the iteration count is at least 1000.
661    For backwards compatibility these checks are disabled by default in the
662    default provider, but are enabled by default in the fips provider.
663    To enable or disable these checks use the control
664    EVP_KDF_CTRL_SET_PBKDF2_PKCS5_MODE.
665
666    *Shane Lontis*
667
668  * Default cipher lists/suites are now available via a function, the
669    #defines are deprecated.
670
671    *Todd Short*
672
673  * Add target VC-WIN32-UWP, VC-WIN64A-UWP, VC-WIN32-ARM-UWP and
674    VC-WIN64-ARM-UWP in Windows OneCore target for making building libraries
675    for Windows Store apps easier. Also, the "no-uplink" option has been added.
676
677    *Kenji Mouri*
678
679  * Join the directories crypto/x509 and crypto/x509v3
680
681    *Richard Levitte*
682
683  * Change the default RSA, DSA and DH size to 2048 bit instead of 1024.
684    This changes the size when using the genpkey app when no size is given. It
685    fixes an omission in earlier changes that changed all RSA, DSA and DH
686    generation apps to use 2048 bits by default.
687
688    *Kurt Roeckx*
689
690  * Added command 'openssl kdf' that uses the EVP_KDF API.
691
692    *Shane Lontis*
693
694  * Added command 'openssl mac' that uses the EVP_MAC API.
695
696    *Shane Lontis*
697
698  * Added OPENSSL_info() to get diverse built-in OpenSSL data, such
699    as default directories.  Also added the command 'openssl info'
700    for scripting purposes.
701
702    *Richard Levitte*
703
704  * The functions AES_ige_encrypt() and AES_bi_ige_encrypt() have been
705    deprecated. These undocumented functions were never integrated into the EVP
706    layer and implement the AES Infinite Garble Extension (IGE) mode and AES
707    Bi-directional IGE mode. These modes were never formally standardised and
708    usage of these functions is believed to be very small. In particular
709    AES_bi_ige_encrypt() has a known bug. It accepts 2 AES keys, but only one
710    is ever used. The security implications are believed to be minimal, but
711    this issue was never fixed for backwards compatibility reasons. New code
712    should not use these modes.
713
714    *Matt Caswell*
715
716  * Add prediction resistance to the DRBG reseeding process.
717
718    *Paul Dale*
719
720  * Limit the number of blocks in a data unit for AES-XTS to 2^20 as
721    mandated by IEEE Std 1619-2018.
722
723    *Paul Dale*
724
725  * Added newline escaping functionality to a filename when using openssl dgst.
726    This output format is to replicate the output format found in the '*sum'
727    checksum programs. This aims to preserve backward compatibility.
728
729    *Matt Eaton, Richard Levitte, and Paul Dale*
730
731  * Removed the heartbeat message in DTLS feature, as it has very
732    little usage and doesn't seem to fulfill a valuable purpose.
733    The configuration option is now deprecated.
734
735    *Richard Levitte*
736
737  * Changed the output of 'openssl {digestname} < file' to display the
738    digest name in its output.
739
740    *Richard Levitte*
741
742  * Added a new generic trace API which provides support for enabling
743    instrumentation through trace output. This feature is mainly intended
744    as an aid for developers and is disabled by default. To utilize it,
745    OpenSSL needs to be configured with the `enable-trace` option.
746
747    If the tracing API is enabled, the application can activate trace output
748    by registering BIOs as trace channels for a number of tracing and debugging
749    categories.
750
751    The 'openssl' application has been expanded to enable any of the types
752    available via environment variables defined by the user, and serves as
753    one possible example on how to use this functionality.
754
755    *Richard Levitte & Matthias St. Pierre*
756
757  * Added build tests for C++.  These are generated files that only do one
758    thing, to include one public OpenSSL head file each.  This tests that
759    the public header files can be usefully included in a C++ application.
760
761    This test isn't enabled by default.  It can be enabled with the option
762    'enable-buildtest-c++'.
763
764    *Richard Levitte*
765
766  * Add Single Step KDF (EVP_KDF_SS) to EVP_KDF.
767
768    *Shane Lontis*
769
770  * Add KMAC to EVP_MAC.
771
772    *Shane Lontis*
773
774  * Added property based algorithm implementation selection framework to
775    the core.
776
777    *Paul Dale*
778
779  * Added SCA hardening for modular field inversion in EC_GROUP through
780    a new dedicated field_inv() pointer in EC_METHOD.
781    This also addresses a leakage affecting conversions from projective
782    to affine coordinates.
783
784    *Billy Bob Brumley, Nicola Tuveri*
785
786  * Added EVP_KDF, an EVP layer KDF API, to simplify adding KDF and PRF
787    implementations.  This includes an EVP_PKEY to EVP_KDF bridge for
788    those algorithms that were already supported through the EVP_PKEY API
789    (scrypt, TLS1 PRF and HKDF).  The low-level KDF functions for PBKDF2
790    and scrypt are now wrappers that call EVP_KDF.
791
792    *David Makepeace*
793
794  * Build devcrypto engine as a dynamic engine.
795
796    *Eneas U de Queiroz*
797
798  * Add keyed BLAKE2 to EVP_MAC.
799
800    *Antoine Salon*
801
802  * Fix a bug in the computation of the endpoint-pair shared secret used
803    by DTLS over SCTP. This breaks interoperability with older versions
804    of OpenSSL like OpenSSL 1.1.0 and OpenSSL 1.0.2. There is a runtime
805    switch SSL_MODE_DTLS_SCTP_LABEL_LENGTH_BUG (off by default) enabling
806    interoperability with such broken implementations. However, enabling
807    this switch breaks interoperability with correct implementations.
808
809  * Fix a use after free bug in d2i_X509_PUBKEY when overwriting a
810    re-used X509_PUBKEY object if the second PUBKEY is malformed.
811
812    *Bernd Edlinger*
813
814  * Move strictness check from EVP_PKEY_asn1_new() to EVP_PKEY_asn1_add0().
815
816    *Richard Levitte*
817
818  * Change the license to the Apache License v2.0.
819
820    *Richard Levitte*
821
822  * Switch to a new version scheme using three numbers MAJOR.MINOR.PATCH.
823
824    - Major releases (indicated by incrementing the MAJOR release number)
825      may introduce incompatible API/ABI changes.
826    - Minor releases (indicated by incrementing the MINOR release number)
827      may introduce new features but retain API/ABI compatibility.
828    - Patch releases (indicated by incrementing the PATCH number)
829      are intended for bug fixes and other improvements of existing
830      features only (like improving performance or adding documentation)
831      and retain API/ABI compatibility.
832
833    *Richard Levitte*
834
835  * Add support for RFC5297 SIV mode (siv128), including AES-SIV.
836
837    *Todd Short*
838
839  * Remove the 'dist' target and add a tarball building script.  The
840    'dist' target has fallen out of use, and it shouldn't be
841    necessary to configure just to create a source distribution.
842
843    *Richard Levitte*
844
845  * Recreate the OS390-Unix config target.  It no longer relies on a
846    special script like it did for OpenSSL pre-1.1.0.
847
848    *Richard Levitte*
849
850  * Instead of having the source directories listed in Configure, add
851    a 'build.info' keyword SUBDIRS to indicate what sub-directories to
852    look into.
853
854    *Richard Levitte*
855
856  * Add GMAC to EVP_MAC.
857
858    *Paul Dale*
859
860  * Ported the HMAC, CMAC and SipHash EVP_PKEY_METHODs to EVP_MAC.
861
862    *Richard Levitte*
863
864  * Added EVP_MAC, an EVP layer MAC API, to simplify adding MAC
865    implementations.  This includes a generic EVP_PKEY to EVP_MAC bridge,
866    to facilitate the continued use of MACs through raw private keys in
867    functionality such as EVP_DigestSign* and EVP_DigestVerify*.
868
869    *Richard Levitte*
870
871  * Deprecate ECDH_KDF_X9_62() and mark its replacement as internal. Users
872    should use the EVP interface instead (EVP_PKEY_CTX_set_ecdh_kdf_type).
873
874    *Antoine Salon*
875
876  * Added EVP_PKEY_ECDH_KDF_X9_63 and ecdh_KDF_X9_63() as replacements for
877    the EVP_PKEY_ECDH_KDF_X9_62 KDF type and ECDH_KDF_X9_62(). The old names
878    are retained for backwards compatibility.
879
880    *Antoine Salon*
881
882  * AES-XTS mode now enforces that its two keys are different to mitigate
883    the attacked described in "Efficient Instantiations of Tweakable
884    Blockciphers and Refinements to Modes OCB and PMAC" by Phillip Rogaway.
885    Details of this attack can be obtained from:
886    http://web.cs.ucdavis.edu/%7Erogaway/papers/offsets.pdf
887
888    *Paul Dale*
889
890  * Rename the object files, i.e. give them other names than in previous
891    versions.  Their names now include the name of the final product, as
892    well as its type mnemonic (bin, lib, shlib).
893
894    *Richard Levitte*
895
896  * Added new option for 'openssl list', '-objects', which will display the
897    list of built in objects, i.e. OIDs with names.
898
899    *Richard Levitte*
900
901  * Added support for Linux Kernel TLS data-path. The Linux Kernel data-path
902    improves application performance by removing data copies and providing
903    applications with zero-copy system calls such as sendfile and splice.
904
905    *Boris Pismenny*
906
907
908 OpenSSL 1.1.1
909 -------------
910
911 ### Changes between 1.1.1d and 1.1.1e [xx XXX xxxx] ###
912
913  * Added a new method to gather entropy on VMS, based on SYS$GET_ENTROPY.
914    The presence of this system service is determined at run-time.
915
916    *Richard Levitte*
917
918  * Added newline escaping functionality to a filename when using openssl dgst.
919    This output format is to replicate the output format found in the '*sum'
920    checksum programs. This aims to preserve backward compatibility.
921
922    *Matt Eaton, Richard Levitte, and Paul Dale*
923
924  * Print all values for a PKCS#12 attribute with 'openssl pkcs12', not just
925    the first value.
926
927    *Jon Spillett*
928
929 ### Changes between 1.1.1c and 1.1.1d [10 Sep 2019] ###
930
931  * Fixed a fork protection issue. OpenSSL 1.1.1 introduced a rewritten random
932    number generator (RNG). This was intended to include protection in the
933    event of a fork() system call in order to ensure that the parent and child
934    processes did not share the same RNG state. However this protection was not
935    being used in the default case.
936
937    A partial mitigation for this issue is that the output from a high
938    precision timer is mixed into the RNG state so the likelihood of a parent
939    and child process sharing state is significantly reduced.
940
941    If an application already calls OPENSSL_init_crypto() explicitly using
942    OPENSSL_INIT_ATFORK then this problem does not occur at all.
943    [CVE-2019-1549][]
944
945    *Matthias St. Pierre*
946
947  * For built-in EC curves, ensure an EC_GROUP built from the curve name is
948    used even when parsing explicit parameters, when loading a serialized key
949    or calling `EC_GROUP_new_from_ecpkparameters()`/
950    `EC_GROUP_new_from_ecparameters()`.
951    This prevents bypass of security hardening and performance gains,
952    especially for curves with specialized EC_METHODs.
953    By default, if a key encoded with explicit parameters is loaded and later
954    serialized, the output is still encoded with explicit parameters, even if
955    internally a "named" EC_GROUP is used for computation.
956
957    *Nicola Tuveri*
958
959  * Compute ECC cofactors if not provided during EC_GROUP construction. Before
960    this change, EC_GROUP_set_generator would accept order and/or cofactor as
961    NULL. After this change, only the cofactor parameter can be NULL. It also
962    does some minimal sanity checks on the passed order.
963    [CVE-2019-1547][]
964
965    *Billy Bob Brumley*
966
967  * Fixed a padding oracle in PKCS7_dataDecode and CMS_decrypt_set1_pkey.
968    An attack is simple, if the first CMS_recipientInfo is valid but the
969    second CMS_recipientInfo is chosen ciphertext. If the second
970    recipientInfo decodes to PKCS #1 v1.5 form plaintext, the correct
971    encryption key will be replaced by garbage, and the message cannot be
972    decoded, but if the RSA decryption fails, the correct encryption key is
973    used and the recipient will not notice the attack.
974    As a work around for this potential attack the length of the decrypted
975    key must be equal to the cipher default key length, in case the
976    certifiate is not given and all recipientInfo are tried out.
977    The old behaviour can be re-enabled in the CMS code by setting the
978    CMS_DEBUG_DECRYPT flag.
979    [CVE-2019-1563][]
980
981    *Bernd Edlinger*
982
983  * Early start up entropy quality from the DEVRANDOM seed source has been
984    improved for older Linux systems.  The RAND subsystem will wait for
985    /dev/random to be producing output before seeding from /dev/urandom.
986    The seeded state is stored for future library initialisations using
987    a system global shared memory segment.  The shared memory identifier
988    can be configured by defining OPENSSL_RAND_SEED_DEVRANDOM_SHM_ID to
989    the desired value.  The default identifier is 114.
990
991    *Paul Dale*
992
993  * Correct the extended master secret constant on EBCDIC systems. Without this
994    fix TLS connections between an EBCDIC system and a non-EBCDIC system that
995    negotiate EMS will fail. Unfortunately this also means that TLS connections
996    between EBCDIC systems with this fix, and EBCDIC systems without this
997    fix will fail if they negotiate EMS.
998
999    *Matt Caswell*
1000
1001  * Use Windows installation paths in the mingw builds
1002
1003    Mingw isn't a POSIX environment per se, which means that Windows
1004    paths should be used for installation.
1005    [CVE-2019-1552][]
1006
1007    *Richard Levitte*
1008
1009  * Changed DH_check to accept parameters with order q and 2q subgroups.
1010    With order 2q subgroups the bit 0 of the private key is not secret
1011    but DH_generate_key works around that by clearing bit 0 of the
1012    private key for those. This avoids leaking bit 0 of the private key.
1013
1014    *Bernd Edlinger*
1015
1016  * Significantly reduce secure memory usage by the randomness pools.
1017
1018    *Paul Dale*
1019
1020  * Revert the DEVRANDOM_WAIT feature for Linux systems
1021
1022    The DEVRANDOM_WAIT feature added a select() call to wait for the
1023    /dev/random device to become readable before reading from the
1024    /dev/urandom device.
1025
1026    It turned out that this change had negative side effects on
1027    performance which were not acceptable. After some discussion it
1028    was decided to revert this feature and leave it up to the OS
1029    resp. the platform maintainer to ensure a proper initialization
1030    during early boot time.
1031
1032    *Matthias St. Pierre*
1033
1034 ### Changes between 1.1.1b and 1.1.1c [28 May 2019] ###
1035
1036  * Add build tests for C++.  These are generated files that only do one
1037    thing, to include one public OpenSSL head file each.  This tests that
1038    the public header files can be usefully included in a C++ application.
1039
1040    This test isn't enabled by default.  It can be enabled with the option
1041    'enable-buildtest-c++'.
1042
1043    *Richard Levitte*
1044
1045  * Enable SHA3 pre-hashing for ECDSA and DSA.
1046
1047    *Patrick Steuer*
1048
1049  * Change the default RSA, DSA and DH size to 2048 bit instead of 1024.
1050    This changes the size when using the genpkey app when no size is given. It
1051    fixes an omission in earlier changes that changed all RSA, DSA and DH
1052    generation apps to use 2048 bits by default.
1053
1054    *Kurt Roeckx*
1055
1056  * Reorganize the manual pages to consistently have RETURN VALUES,
1057    EXAMPLES, SEE ALSO and HISTORY come in that order, and adjust
1058    util/fix-doc-nits accordingly.
1059
1060    *Paul Yang, Joshua Lock*
1061
1062  * Add the missing accessor EVP_PKEY_get0_engine()
1063
1064    *Matt Caswell*
1065
1066  * Have apps like 's_client' and 's_server' output the signature scheme
1067    along with other cipher suite parameters when debugging.
1068
1069    *Lorinczy Zsigmond*
1070
1071  * Make OPENSSL_config() error agnostic again.
1072
1073    *Richard Levitte*
1074
1075  * Do the error handling in RSA decryption constant time.
1076
1077    *Bernd Edlinger*
1078
1079  * Prevent over long nonces in ChaCha20-Poly1305.
1080
1081    ChaCha20-Poly1305 is an AEAD cipher, and requires a unique nonce input
1082    for every encryption operation. RFC 7539 specifies that the nonce value
1083    (IV) should be 96 bits (12 bytes). OpenSSL allows a variable nonce length
1084    and front pads the nonce with 0 bytes if it is less than 12
1085    bytes. However it also incorrectly allows a nonce to be set of up to 16
1086    bytes. In this case only the last 12 bytes are significant and any
1087    additional leading bytes are ignored.
1088
1089    It is a requirement of using this cipher that nonce values are
1090    unique. Messages encrypted using a reused nonce value are susceptible to
1091    serious confidentiality and integrity attacks. If an application changes
1092    the default nonce length to be longer than 12 bytes and then makes a
1093    change to the leading bytes of the nonce expecting the new value to be a
1094    new unique nonce then such an application could inadvertently encrypt
1095    messages with a reused nonce.
1096
1097    Additionally the ignored bytes in a long nonce are not covered by the
1098    integrity guarantee of this cipher. Any application that relies on the
1099    integrity of these ignored leading bytes of a long nonce may be further
1100    affected. Any OpenSSL internal use of this cipher, including in SSL/TLS,
1101    is safe because no such use sets such a long nonce value. However user
1102    applications that use this cipher directly and set a non-default nonce
1103    length to be longer than 12 bytes may be vulnerable.
1104
1105    This issue was reported to OpenSSL on 16th of March 2019 by Joran Dirk
1106    Greef of Ronomon.
1107    [CVE-2019-1543][]
1108
1109    *Matt Caswell*
1110
1111  * Add DEVRANDOM_WAIT feature for Linux systems
1112
1113    On older Linux systems where the getrandom() system call is not available,
1114    OpenSSL normally uses the /dev/urandom device for seeding its CSPRNG.
1115    Contrary to getrandom(), the /dev/urandom device will not block during
1116    early boot when the kernel CSPRNG has not been seeded yet.
1117
1118    To mitigate this known weakness, use select() to wait for /dev/random to
1119    become readable before reading from /dev/urandom.
1120
1121  * Ensure that SM2 only uses SM3 as digest algorithm
1122
1123    *Paul Yang*
1124
1125 ### Changes between 1.1.1a and 1.1.1b [26 Feb 2019] ###
1126
1127  * Change the info callback signals for the start and end of a post-handshake
1128    message exchange in TLSv1.3. In 1.1.1/1.1.1a we used SSL_CB_HANDSHAKE_START
1129    and SSL_CB_HANDSHAKE_DONE. Experience has shown that many applications get
1130    confused by this and assume that a TLSv1.2 renegotiation has started. This
1131    can break KeyUpdate handling. Instead we no longer signal the start and end
1132    of a post handshake message exchange (although the messages themselves are
1133    still signalled). This could break some applications that were expecting
1134    the old signals. However without this KeyUpdate is not usable for many
1135    applications.
1136
1137    *Matt Caswell*
1138
1139 ### Changes between 1.1.1 and 1.1.1a [20 Nov 2018] ###
1140
1141  * Timing vulnerability in DSA signature generation
1142
1143    The OpenSSL DSA signature algorithm has been shown to be vulnerable to a
1144    timing side channel attack. An attacker could use variations in the signing
1145    algorithm to recover the private key.
1146
1147    This issue was reported to OpenSSL on 16th October 2018 by Samuel Weiser.
1148    [CVE-2018-0734][]
1149
1150    *Paul Dale*
1151
1152  * Timing vulnerability in ECDSA signature generation
1153
1154    The OpenSSL ECDSA signature algorithm has been shown to be vulnerable to a
1155    timing side channel attack. An attacker could use variations in the signing
1156    algorithm to recover the private key.
1157
1158    This issue was reported to OpenSSL on 25th October 2018 by Samuel Weiser.
1159    [CVE-2018-0735][]
1160
1161    *Paul Dale*
1162
1163  * Fixed the issue that RAND_add()/RAND_seed() silently discards random input
1164    if its length exceeds 4096 bytes. The limit has been raised to a buffer size
1165    of two gigabytes and the error handling improved.
1166
1167    This issue was reported to OpenSSL by Dr. Falko Strenzke. It has been
1168    categorized as a normal bug, not a security issue, because the DRBG reseeds
1169    automatically and is fully functional even without additional randomness
1170    provided by the application.
1171
1172 ### Changes between 1.1.0i and 1.1.1 [11 Sep 2018] ###
1173
1174  * Add a new ClientHello callback. Provides a callback interface that gives
1175    the application the ability to adjust the nascent SSL object at the
1176    earliest stage of ClientHello processing, immediately after extensions have
1177    been collected but before they have been processed. In particular, this
1178    callback can adjust the supported TLS versions in response to the contents
1179    of the ClientHello
1180
1181    *Benjamin Kaduk*
1182
1183  * Add SM2 base algorithm support.
1184
1185    *Jack Lloyd*
1186
1187  * s390x assembly pack: add (improved) hardware-support for the following
1188    cryptographic primitives: sha3, shake, aes-gcm, aes-ccm, aes-ctr, aes-ofb,
1189    aes-cfb/cfb8, aes-ecb.
1190
1191    *Patrick Steuer*
1192
1193  * Make EVP_PKEY_asn1_new() a bit stricter about its input.  A NULL pem_str
1194    parameter is no longer accepted, as it leads to a corrupt table.  NULL
1195    pem_str is reserved for alias entries only.
1196
1197    *Richard Levitte*
1198
1199  * Use the new ec_scalar_mul_ladder scaffold to implement a specialized ladder
1200    step for prime curves. The new implementation is based on formulae from
1201    differential addition-and-doubling in homogeneous projective coordinates
1202    from Izu-Takagi "A fast parallel elliptic curve multiplication resistant
1203    against side channel attacks" and Brier-Joye "Weierstrass Elliptic Curves
1204    and Side-Channel Attacks" Eq. (8) for y-coordinate recovery, modified
1205    to work in projective coordinates.
1206
1207    *Billy Bob Brumley, Nicola Tuveri*
1208
1209  * Change generating and checking of primes so that the error rate of not
1210    being prime depends on the intended use based on the size of the input.
1211    For larger primes this will result in more rounds of Miller-Rabin.
1212    The maximal error rate for primes with more than 1080 bits is lowered
1213    to 2^-128.
1214
1215    *Kurt Roeckx, Annie Yousar*
1216
1217  * Increase the number of Miller-Rabin rounds for DSA key generating to 64.
1218
1219    *Kurt Roeckx*
1220
1221  * The 'tsget' script is renamed to 'tsget.pl', to avoid confusion when
1222    moving between systems, and to avoid confusion when a Windows build is
1223    done with mingw vs with MSVC.  For POSIX installs, there's still a
1224    symlink or copy named 'tsget' to avoid that confusion as well.
1225
1226    *Richard Levitte*
1227
1228  * Revert blinding in ECDSA sign and instead make problematic addition
1229    length-invariant. Switch even to fixed-length Montgomery multiplication.
1230
1231    *Andy Polyakov*
1232
1233  * Use the new ec_scalar_mul_ladder scaffold to implement a specialized ladder
1234    step for binary curves. The new implementation is based on formulae from
1235    differential addition-and-doubling in mixed Lopez-Dahab projective
1236    coordinates, modified to independently blind the operands.
1237
1238    *Billy Bob Brumley, Sohaib ul Hassan, Nicola Tuveri*
1239
1240  * Add a scaffold to optionally enhance the Montgomery ladder implementation
1241    for `ec_scalar_mul_ladder` (formerly `ec_mul_consttime`) allowing
1242    EC_METHODs to implement their own specialized "ladder step", to take
1243    advantage of more favorable coordinate systems or more efficient
1244    differential addition-and-doubling algorithms.
1245
1246    *Billy Bob Brumley, Sohaib ul Hassan, Nicola Tuveri*
1247
1248  * Modified the random device based seed sources to keep the relevant
1249    file descriptors open rather than reopening them on each access.
1250    This allows such sources to operate in a chroot() jail without
1251    the associated device nodes being available. This behaviour can be
1252    controlled using RAND_keep_random_devices_open().
1253
1254    *Paul Dale*
1255
1256  * Numerous side-channel attack mitigations have been applied. This may have
1257    performance impacts for some algorithms for the benefit of improved
1258    security. Specific changes are noted in this change log by their respective
1259    authors.
1260
1261    *Matt Caswell*
1262
1263  * AIX shared library support overhaul. Switch to AIX "natural" way of
1264    handling shared libraries, which means collecting shared objects of
1265    different versions and bitnesses in one common archive. This allows to
1266    mitigate conflict between 1.0 and 1.1 side-by-side installations. It
1267    doesn't affect the way 3rd party applications are linked, only how
1268    multi-version installation is managed.
1269
1270    *Andy Polyakov*
1271
1272  * Make ec_group_do_inverse_ord() more robust and available to other
1273    EC cryptosystems, so that irrespective of BN_FLG_CONSTTIME, SCA
1274    mitigations are applied to the fallback BN_mod_inverse().
1275    When using this function rather than BN_mod_inverse() directly, new
1276    EC cryptosystem implementations are then safer-by-default.
1277
1278    *Billy Bob Brumley*
1279
1280  * Add coordinate blinding for EC_POINT and implement projective
1281    coordinate blinding for generic prime curves as a countermeasure to
1282    chosen point SCA attacks.
1283
1284    *Sohaib ul Hassan, Nicola Tuveri, Billy Bob Brumley*
1285
1286  * Add blinding to ECDSA and DSA signatures to protect against side channel
1287    attacks discovered by Keegan Ryan (NCC Group).
1288
1289    *Matt Caswell*
1290
1291  * Enforce checking in the pkeyutl command line app to ensure that the input
1292    length does not exceed the maximum supported digest length when performing
1293    a sign, verify or verifyrecover operation.
1294
1295    *Matt Caswell*
1296
1297  * SSL_MODE_AUTO_RETRY is enabled by default. Applications that use blocking
1298    I/O in combination with something like select() or poll() will hang. This
1299    can be turned off again using SSL_CTX_clear_mode().
1300    Many applications do not properly handle non-application data records, and
1301    TLS 1.3 sends more of such records. Setting SSL_MODE_AUTO_RETRY works
1302    around the problems in those applications, but can also break some.
1303    It's recommended to read the manpages about SSL_read(), SSL_write(),
1304    SSL_get_error(), SSL_shutdown(), SSL_CTX_set_mode() and
1305    SSL_CTX_set_read_ahead() again.
1306
1307    *Kurt Roeckx*
1308
1309  * When unlocking a pass phrase protected PEM file or PKCS#8 container, we
1310    now allow empty (zero character) pass phrases.
1311
1312    *Richard Levitte*
1313
1314  * Apply blinding to binary field modular inversion and remove patent
1315    pending (OPENSSL_SUN_GF2M_DIV) BN_GF2m_mod_div implementation.
1316
1317    *Billy Bob Brumley*
1318
1319  * Deprecate ec2_mult.c and unify scalar multiplication code paths for
1320    binary and prime elliptic curves.
1321
1322    *Billy Bob Brumley*
1323
1324  * Remove ECDSA nonce padding: EC_POINT_mul is now responsible for
1325    constant time fixed point multiplication.
1326
1327    *Billy Bob Brumley*
1328
1329  * Revise elliptic curve scalar multiplication with timing attack
1330    defenses: ec_wNAF_mul redirects to a constant time implementation
1331    when computing fixed point and variable point multiplication (which
1332    in OpenSSL are mostly used with secret scalars in keygen, sign,
1333    ECDH derive operations).
1334    *Billy Bob Brumley, Nicola Tuveri, Cesar Pereida García,
1335     Sohaib ul Hassan*
1336
1337  * Updated CONTRIBUTING
1338
1339    *Rich Salz*
1340
1341  * Updated DRBG / RAND to request nonce and additional low entropy
1342    randomness from the system.
1343
1344    *Matthias St. Pierre*
1345
1346  * Updated 'openssl rehash' to use OpenSSL consistent default.
1347
1348    *Richard Levitte*
1349
1350  * Moved the load of the ssl_conf module to libcrypto, which helps
1351    loading engines that libssl uses before libssl is initialised.
1352
1353    *Matt Caswell*
1354
1355  * Added EVP_PKEY_sign() and EVP_PKEY_verify() for EdDSA
1356
1357    *Matt Caswell*
1358
1359  * Fixed X509_NAME_ENTRY_set to get multi-valued RDNs right in all cases.
1360
1361    *Ingo Schwarze, Rich Salz*
1362
1363  * Added output of accepting IP address and port for 'openssl s_server'
1364
1365    *Richard Levitte*
1366
1367  * Added a new API for TLSv1.3 ciphersuites:
1368       SSL_CTX_set_ciphersuites()
1369       SSL_set_ciphersuites()
1370
1371    *Matt Caswell*
1372
1373  * Memory allocation failures consistently add an error to the error
1374    stack.
1375
1376    *Rich Salz*
1377
1378  * Don't use OPENSSL_ENGINES and OPENSSL_CONF environment values
1379    in libcrypto when run as setuid/setgid.
1380
1381    *Bernd Edlinger*
1382
1383  * Load any config file by default when libssl is used.
1384
1385    *Matt Caswell*
1386
1387  * Added new public header file <openssl/rand_drbg.h> and documentation
1388    for the RAND_DRBG API. See manual page RAND_DRBG(7) for an overview.
1389
1390    *Matthias St. Pierre*
1391
1392  * QNX support removed (cannot find contributors to get their approval
1393    for the license change).
1394
1395    *Rich Salz*
1396
1397  * TLSv1.3 replay protection for early data has been implemented. See the
1398    SSL_read_early_data() man page for further details.
1399
1400    *Matt Caswell*
1401
1402  * Separated TLSv1.3 ciphersuite configuration out from TLSv1.2 ciphersuite
1403    configuration. TLSv1.3 ciphersuites are not compatible with TLSv1.2 and
1404    below. Similarly TLSv1.2 ciphersuites are not compatible with TLSv1.3.
1405    In order to avoid issues where legacy TLSv1.2 ciphersuite configuration
1406    would otherwise inadvertently disable all TLSv1.3 ciphersuites the
1407    configuration has been separated out. See the ciphers man page or the
1408    SSL_CTX_set_ciphersuites() man page for more information.
1409
1410    *Matt Caswell*
1411
1412  * On POSIX (BSD, Linux, ...) systems the ocsp(1) command running
1413    in responder mode now supports the new "-multi" option, which
1414    spawns the specified number of child processes to handle OCSP
1415    requests.  The "-timeout" option now also limits the OCSP
1416    responder's patience to wait to receive the full client request
1417    on a newly accepted connection. Child processes are respawned
1418    as needed, and the CA index file is automatically reloaded
1419    when changed.  This makes it possible to run the "ocsp" responder
1420    as a long-running service, making the OpenSSL CA somewhat more
1421    feature-complete.  In this mode, most diagnostic messages logged
1422    after entering the event loop are logged via syslog(3) rather than
1423    written to stderr.
1424
1425    *Viktor Dukhovni*
1426
1427  * Added support for X448 and Ed448. Heavily based on original work by
1428    Mike Hamburg.
1429
1430    *Matt Caswell*
1431
1432  * Extend OSSL_STORE with capabilities to search and to narrow the set of
1433    objects loaded.  This adds the functions OSSL_STORE_expect() and
1434    OSSL_STORE_find() as well as needed tools to construct searches and
1435    get the search data out of them.
1436
1437    *Richard Levitte*
1438
1439  * Support for TLSv1.3 added. Note that users upgrading from an earlier
1440    version of OpenSSL should review their configuration settings to ensure
1441    that they are still appropriate for TLSv1.3. For further information see:
1442    https://wiki.openssl.org/index.php/TLS1.3
1443
1444    *Matt Caswell*
1445
1446  * Grand redesign of the OpenSSL random generator
1447
1448    The default RAND method now utilizes an AES-CTR DRBG according to
1449    NIST standard SP 800-90Ar1. The new random generator is essentially
1450    a port of the default random generator from the OpenSSL FIPS 2.0
1451    object module. It is a hybrid deterministic random bit generator
1452    using an AES-CTR bit stream and which seeds and reseeds itself
1453    automatically using trusted system entropy sources.
1454
1455    Some of its new features are:
1456     - Support for multiple DRBG instances with seed chaining.
1457     - The default RAND method makes use of a DRBG.
1458     - There is a public and private DRBG instance.
1459     - The DRBG instances are fork-safe.
1460     - Keep all global DRBG instances on the secure heap if it is enabled.
1461     - The public and private DRBG instance are per thread for lock free
1462       operation
1463
1464    *Paul Dale, Benjamin Kaduk, Kurt Roeckx, Rich Salz, Matthias St. Pierre*
1465
1466  * Changed Configure so it only says what it does and doesn't dump
1467    so much data.  Instead, ./configdata.pm should be used as a script
1468    to display all sorts of configuration data.
1469
1470    *Richard Levitte*
1471
1472  * Added processing of "make variables" to Configure.
1473
1474    *Richard Levitte*
1475
1476  * Added SHA512/224 and SHA512/256 algorithm support.
1477
1478    *Paul Dale*
1479
1480  * The last traces of Netware support, first removed in 1.1.0, have
1481    now been removed.
1482
1483    *Rich Salz*
1484
1485  * Get rid of Makefile.shared, and in the process, make the processing
1486    of certain files (rc.obj, or the .def/.map/.opt files produced from
1487    the ordinal files) more visible and hopefully easier to trace and
1488    debug (or make silent).
1489
1490    *Richard Levitte*
1491
1492  * Make it possible to have environment variable assignments as
1493    arguments to config / Configure.
1494
1495    *Richard Levitte*
1496
1497  * Add multi-prime RSA (RFC 8017) support.
1498
1499    *Paul Yang*
1500
1501  * Add SM3 implemented according to GB/T 32905-2016
1502    * Jack Lloyd <jack.lloyd@ribose.com>,
1503      Ronald Tse <ronald.tse@ribose.com>,
1504      Erick Borsboom <erick.borsboom@ribose.com> *
1505
1506  * Add 'Maximum Fragment Length' TLS extension negotiation and support
1507    as documented in RFC6066.
1508    Based on a patch from Tomasz Moń
1509
1510    *Filipe Raimundo da Silva*
1511
1512  * Add SM4 implemented according to GB/T 32907-2016.
1513    * Jack Lloyd <jack.lloyd@ribose.com>,
1514      Ronald Tse <ronald.tse@ribose.com>,
1515      Erick Borsboom <erick.borsboom@ribose.com> *
1516
1517  * Reimplement -newreq-nodes and ERR_error_string_n; the
1518    original author does not agree with the license change.
1519
1520    *Rich Salz*
1521
1522  * Add ARIA AEAD TLS support.
1523
1524    *Jon Spillett*
1525
1526  * Some macro definitions to support VS6 have been removed.  Visual
1527    Studio 6 has not worked since 1.1.0
1528
1529    *Rich Salz*
1530
1531  * Add ERR_clear_last_mark(), to allow callers to clear the last mark
1532    without clearing the errors.
1533
1534    *Richard Levitte*
1535
1536  * Add "atfork" functions.  If building on a system that without
1537    pthreads, see doc/man3/OPENSSL_fork_prepare.pod for application
1538    requirements.  The RAND facility now uses/requires this.
1539
1540    *Rich Salz*
1541
1542  * Add SHA3.
1543
1544    *Andy Polyakov*
1545
1546  * The UI API becomes a permanent and integral part of libcrypto, i.e.
1547    not possible to disable entirely.  However, it's still possible to
1548    disable the console reading UI method, UI_OpenSSL() (use UI_null()
1549    as a fallback).
1550
1551    To disable, configure with 'no-ui-console'.  'no-ui' is still
1552    possible to use as an alias.  Check at compile time with the
1553    macro OPENSSL_NO_UI_CONSOLE.  The macro OPENSSL_NO_UI is still
1554    possible to check and is an alias for OPENSSL_NO_UI_CONSOLE.
1555
1556    *Richard Levitte*
1557
1558  * Add a STORE module, which implements a uniform and URI based reader of
1559    stores that can contain keys, certificates, CRLs and numerous other
1560    objects.  The main API is loosely based on a few stdio functions,
1561    and includes OSSL_STORE_open, OSSL_STORE_load, OSSL_STORE_eof,
1562    OSSL_STORE_error and OSSL_STORE_close.
1563    The implementation uses backends called "loaders" to implement arbitrary
1564    URI schemes.  There is one built in "loader" for the 'file' scheme.
1565
1566    *Richard Levitte*
1567
1568  * Add devcrypto engine.  This has been implemented against cryptodev-linux,
1569    then adjusted to work on FreeBSD 8.4 as well.
1570    Enable by configuring with 'enable-devcryptoeng'.  This is done by default
1571    on BSD implementations, as cryptodev.h is assumed to exist on all of them.
1572
1573    *Richard Levitte*
1574
1575  * Module names can prefixed with OSSL_ or OPENSSL_.  This affects
1576    util/mkerr.pl, which is adapted to allow those prefixes, leading to
1577    error code calls like this:
1578
1579            OSSL_FOOerr(OSSL_FOO_F_SOMETHING, OSSL_FOO_R_WHATEVER);
1580
1581    With this change, we claim the namespaces OSSL and OPENSSL in a manner
1582    that can be encoded in C.  For the foreseeable future, this will only
1583    affect new modules.
1584
1585    *Richard Levitte and Tim Hudson*
1586
1587  * Removed BSD cryptodev engine.
1588
1589    *Rich Salz*
1590
1591  * Add a build target 'build_all_generated', to build all generated files
1592    and only that.  This can be used to prepare everything that requires
1593    things like perl for a system that lacks perl and then move everything
1594    to that system and do the rest of the build there.
1595
1596    *Richard Levitte*
1597
1598  * In the UI interface, make it possible to duplicate the user data.  This
1599    can be used by engines that need to retain the data for a longer time
1600    than just the call where this user data is passed.
1601
1602    *Richard Levitte*
1603
1604  * Ignore the '-named_curve auto' value for compatibility of applications
1605    with OpenSSL 1.0.2.
1606
1607    *Tomas Mraz <tmraz@fedoraproject.org>*
1608
1609  * Fragmented SSL/TLS alerts are no longer accepted. An alert message is 2
1610    bytes long. In theory it is permissible in SSLv3 - TLSv1.2 to fragment such
1611    alerts across multiple records (some of which could be empty). In practice
1612    it make no sense to send an empty alert record, or to fragment one. TLSv1.3
1613    prohibits this altogether and other libraries (BoringSSL, NSS) do not
1614    support this at all. Supporting it adds significant complexity to the
1615    record layer, and its removal is unlikely to cause interoperability
1616    issues.
1617
1618    *Matt Caswell*
1619
1620  * Add the ASN.1 types INT32, UINT32, INT64, UINT64 and variants prefixed
1621    with Z.  These are meant to replace LONG and ZLONG and to be size safe.
1622    The use of LONG and ZLONG is discouraged and scheduled for deprecation
1623    in OpenSSL 1.2.0.
1624
1625    *Richard Levitte*
1626
1627  * Add the 'z' and 'j' modifiers to BIO_printf() et al formatting string,
1628    'z' is to be used for [s]size_t, and 'j' - with [u]int64_t.
1629
1630    *Richard Levitte, Andy Polyakov*
1631
1632  * Add EC_KEY_get0_engine(), which does for EC_KEY what RSA_get0_engine()
1633    does for RSA, etc.
1634
1635    *Richard Levitte*
1636
1637  * Have 'config' recognise 64-bit mingw and choose 'mingw64' as the target
1638    platform rather than 'mingw'.
1639
1640    *Richard Levitte*
1641
1642  * The functions X509_STORE_add_cert and X509_STORE_add_crl return
1643    success if they are asked to add an object which already exists
1644    in the store. This change cascades to other functions which load
1645    certificates and CRLs.
1646
1647    *Paul Dale*
1648
1649  * x86_64 assembly pack: annotate code with DWARF CFI directives to
1650    facilitate stack unwinding even from assembly subroutines.
1651
1652    *Andy Polyakov*
1653
1654  * Remove VAX C specific definitions of OPENSSL_EXPORT, OPENSSL_EXTERN.
1655    Also remove OPENSSL_GLOBAL entirely, as it became a no-op.
1656
1657    *Richard Levitte*
1658
1659  * Remove the VMS-specific reimplementation of gmtime from crypto/o_times.c.
1660    VMS C's RTL has a fully up to date gmtime() and gmtime_r() since V7.1,
1661    which is the minimum version we support.
1662
1663    *Richard Levitte*
1664
1665  * Certificate time validation (X509_cmp_time) enforces stricter
1666    compliance with RFC 5280. Fractional seconds and timezone offsets
1667    are no longer allowed.
1668
1669    *Emilia Käsper*
1670
1671  * Add support for ARIA
1672
1673    *Paul Dale*
1674
1675  * s_client will now send the Server Name Indication (SNI) extension by
1676    default unless the new "-noservername" option is used. The server name is
1677    based on the host provided to the "-connect" option unless overridden by
1678    using "-servername".
1679
1680    *Matt Caswell*
1681
1682  * Add support for SipHash
1683
1684    *Todd Short*
1685
1686  * OpenSSL now fails if it receives an unrecognised record type in TLS1.0
1687    or TLS1.1. Previously this only happened in SSLv3 and TLS1.2. This is to
1688    prevent issues where no progress is being made and the peer continually
1689    sends unrecognised record types, using up resources processing them.
1690
1691    *Matt Caswell*
1692
1693  * 'openssl passwd' can now produce SHA256 and SHA512 based output,
1694    using the algorithm defined in
1695    https://www.akkadia.org/drepper/SHA-crypt.txt
1696
1697    *Richard Levitte*
1698
1699  * Heartbeat support has been removed; the ABI is changed for now.
1700
1701    *Richard Levitte, Rich Salz*
1702
1703  * Support for SSL_OP_NO_ENCRYPT_THEN_MAC in SSL_CONF_cmd.
1704
1705    *Emilia Käsper*
1706
1707  * The RSA "null" method, which was partially supported to avoid patent
1708    issues, has been replaced to always returns NULL.
1709
1710    *Rich Salz*
1711
1712 OpenSSL 1.1.0
1713 -------------
1714
1715
1716 ### Changes between 1.1.0k and 1.1.0l [10 Sep 2019] ###
1717
1718  * For built-in EC curves, ensure an EC_GROUP built from the curve name is
1719    used even when parsing explicit parameters, when loading a serialized key
1720    or calling `EC_GROUP_new_from_ecpkparameters()`/
1721    `EC_GROUP_new_from_ecparameters()`.
1722    This prevents bypass of security hardening and performance gains,
1723    especially for curves with specialized EC_METHODs.
1724    By default, if a key encoded with explicit parameters is loaded and later
1725    serialized, the output is still encoded with explicit parameters, even if
1726    internally a "named" EC_GROUP is used for computation.
1727
1728    *Nicola Tuveri*
1729
1730  * Compute ECC cofactors if not provided during EC_GROUP construction. Before
1731    this change, EC_GROUP_set_generator would accept order and/or cofactor as
1732    NULL. After this change, only the cofactor parameter can be NULL. It also
1733    does some minimal sanity checks on the passed order.
1734    [CVE-2019-1547][]
1735
1736    *Billy Bob Brumley*
1737
1738  * Fixed a padding oracle in PKCS7_dataDecode and CMS_decrypt_set1_pkey.
1739    An attack is simple, if the first CMS_recipientInfo is valid but the
1740    second CMS_recipientInfo is chosen ciphertext. If the second
1741    recipientInfo decodes to PKCS #1 v1.5 form plaintext, the correct
1742    encryption key will be replaced by garbage, and the message cannot be
1743    decoded, but if the RSA decryption fails, the correct encryption key is
1744    used and the recipient will not notice the attack.
1745    As a work around for this potential attack the length of the decrypted
1746    key must be equal to the cipher default key length, in case the
1747    certifiate is not given and all recipientInfo are tried out.
1748    The old behaviour can be re-enabled in the CMS code by setting the
1749    CMS_DEBUG_DECRYPT flag.
1750    [CVE-2019-1563][]
1751
1752    *Bernd Edlinger*
1753
1754  * Use Windows installation paths in the mingw builds
1755
1756    Mingw isn't a POSIX environment per se, which means that Windows
1757    paths should be used for installation.
1758    [CVE-2019-1552][]
1759
1760    *Richard Levitte*
1761
1762 ### Changes between 1.1.0j and 1.1.0k [28 May 2019] ###
1763
1764  * Change the default RSA, DSA and DH size to 2048 bit instead of 1024.
1765    This changes the size when using the genpkey app when no size is given. It
1766    fixes an omission in earlier changes that changed all RSA, DSA and DH
1767    generation apps to use 2048 bits by default.
1768
1769    *Kurt Roeckx*
1770
1771  * Prevent over long nonces in ChaCha20-Poly1305.
1772
1773    ChaCha20-Poly1305 is an AEAD cipher, and requires a unique nonce input
1774    for every encryption operation. RFC 7539 specifies that the nonce value
1775    (IV) should be 96 bits (12 bytes). OpenSSL allows a variable nonce length
1776    and front pads the nonce with 0 bytes if it is less than 12
1777    bytes. However it also incorrectly allows a nonce to be set of up to 16
1778    bytes. In this case only the last 12 bytes are significant and any
1779    additional leading bytes are ignored.
1780
1781    It is a requirement of using this cipher that nonce values are
1782    unique. Messages encrypted using a reused nonce value are susceptible to
1783    serious confidentiality and integrity attacks. If an application changes
1784    the default nonce length to be longer than 12 bytes and then makes a
1785    change to the leading bytes of the nonce expecting the new value to be a
1786    new unique nonce then such an application could inadvertently encrypt
1787    messages with a reused nonce.
1788
1789    Additionally the ignored bytes in a long nonce are not covered by the
1790    integrity guarantee of this cipher. Any application that relies on the
1791    integrity of these ignored leading bytes of a long nonce may be further
1792    affected. Any OpenSSL internal use of this cipher, including in SSL/TLS,
1793    is safe because no such use sets such a long nonce value. However user
1794    applications that use this cipher directly and set a non-default nonce
1795    length to be longer than 12 bytes may be vulnerable.
1796
1797    This issue was reported to OpenSSL on 16th of March 2019 by Joran Dirk
1798    Greef of Ronomon.
1799    [CVE-2019-1543][]
1800
1801    *Matt Caswell*
1802
1803  * Added SCA hardening for modular field inversion in EC_GROUP through
1804    a new dedicated field_inv() pointer in EC_METHOD.
1805    This also addresses a leakage affecting conversions from projective
1806    to affine coordinates.
1807
1808    *Billy Bob Brumley, Nicola Tuveri*
1809
1810  * Fix a use after free bug in d2i_X509_PUBKEY when overwriting a
1811    re-used X509_PUBKEY object if the second PUBKEY is malformed.
1812
1813    *Bernd Edlinger*
1814
1815  * Move strictness check from EVP_PKEY_asn1_new() to EVP_PKEY_asn1_add0().
1816
1817    *Richard Levitte*
1818
1819  * Remove the 'dist' target and add a tarball building script.  The
1820    'dist' target has fallen out of use, and it shouldn't be
1821    necessary to configure just to create a source distribution.
1822
1823    *Richard Levitte*
1824
1825 ### Changes between 1.1.0i and 1.1.0j [20 Nov 2018] ###
1826
1827  * Timing vulnerability in DSA signature generation
1828
1829    The OpenSSL DSA signature algorithm has been shown to be vulnerable to a
1830    timing side channel attack. An attacker could use variations in the signing
1831    algorithm to recover the private key.
1832
1833    This issue was reported to OpenSSL on 16th October 2018 by Samuel Weiser.
1834    [CVE-2018-0734][]
1835
1836    *Paul Dale*
1837
1838  * Timing vulnerability in ECDSA signature generation
1839
1840    The OpenSSL ECDSA signature algorithm has been shown to be vulnerable to a
1841    timing side channel attack. An attacker could use variations in the signing
1842    algorithm to recover the private key.
1843
1844    This issue was reported to OpenSSL on 25th October 2018 by Samuel Weiser.
1845    [CVE-2018-0735][]
1846
1847    *Paul Dale*
1848
1849  * Add coordinate blinding for EC_POINT and implement projective
1850    coordinate blinding for generic prime curves as a countermeasure to
1851    chosen point SCA attacks.
1852
1853    *Sohaib ul Hassan, Nicola Tuveri, Billy Bob Brumley*
1854
1855 ### Changes between 1.1.0h and 1.1.0i [14 Aug 2018] ###
1856
1857  * Client DoS due to large DH parameter
1858
1859    During key agreement in a TLS handshake using a DH(E) based ciphersuite a
1860    malicious server can send a very large prime value to the client. This will
1861    cause the client to spend an unreasonably long period of time generating a
1862    key for this prime resulting in a hang until the client has finished. This
1863    could be exploited in a Denial Of Service attack.
1864
1865    This issue was reported to OpenSSL on 5th June 2018 by Guido Vranken
1866    [CVE-2018-0732][]
1867
1868    *Guido Vranken*
1869
1870  * Cache timing vulnerability in RSA Key Generation
1871
1872    The OpenSSL RSA Key generation algorithm has been shown to be vulnerable to
1873    a cache timing side channel attack. An attacker with sufficient access to
1874    mount cache timing attacks during the RSA key generation process could
1875    recover the private key.
1876
1877    This issue was reported to OpenSSL on 4th April 2018 by Alejandro Cabrera
1878    Aldaya, Billy Brumley, Cesar Pereida Garcia and Luis Manuel Alvarez Tapia.
1879    [CVE-2018-0737][]
1880
1881    *Billy Brumley*
1882
1883  * Make EVP_PKEY_asn1_new() a bit stricter about its input.  A NULL pem_str
1884    parameter is no longer accepted, as it leads to a corrupt table.  NULL
1885    pem_str is reserved for alias entries only.
1886
1887    *Richard Levitte*
1888
1889  * Revert blinding in ECDSA sign and instead make problematic addition
1890    length-invariant. Switch even to fixed-length Montgomery multiplication.
1891
1892    *Andy Polyakov*
1893
1894  * Change generating and checking of primes so that the error rate of not
1895    being prime depends on the intended use based on the size of the input.
1896    For larger primes this will result in more rounds of Miller-Rabin.
1897    The maximal error rate for primes with more than 1080 bits is lowered
1898    to 2^-128.
1899
1900    *Kurt Roeckx, Annie Yousar*
1901
1902  * Increase the number of Miller-Rabin rounds for DSA key generating to 64.
1903
1904    *Kurt Roeckx*
1905
1906  * Add blinding to ECDSA and DSA signatures to protect against side channel
1907    attacks discovered by Keegan Ryan (NCC Group).
1908
1909    *Matt Caswell*
1910
1911  * When unlocking a pass phrase protected PEM file or PKCS#8 container, we
1912    now allow empty (zero character) pass phrases.
1913
1914    *Richard Levitte*
1915
1916  * Certificate time validation (X509_cmp_time) enforces stricter
1917    compliance with RFC 5280. Fractional seconds and timezone offsets
1918    are no longer allowed.
1919
1920    *Emilia Käsper*
1921
1922  * Fixed a text canonicalisation bug in CMS
1923
1924    Where a CMS detached signature is used with text content the text goes
1925    through a canonicalisation process first prior to signing or verifying a
1926    signature. This process strips trailing space at the end of lines, converts
1927    line terminators to CRLF and removes additional trailing line terminators
1928    at the end of a file. A bug in the canonicalisation process meant that
1929    some characters, such as form-feed, were incorrectly treated as whitespace
1930    and removed. This is contrary to the specification (RFC5485). This fix
1931    could mean that detached text data signed with an earlier version of
1932    OpenSSL 1.1.0 may fail to verify using the fixed version, or text data
1933    signed with a fixed OpenSSL may fail to verify with an earlier version of
1934    OpenSSL 1.1.0. A workaround is to only verify the canonicalised text data
1935    and use the "-binary" flag (for the "cms" command line application) or set
1936    the SMIME_BINARY/PKCS7_BINARY/CMS_BINARY flags (if using CMS_verify()).
1937
1938    *Matt Caswell*
1939
1940 ### Changes between 1.1.0g and 1.1.0h [27 Mar 2018] ###
1941
1942  * Constructed ASN.1 types with a recursive definition could exceed the stack
1943
1944    Constructed ASN.1 types with a recursive definition (such as can be found
1945    in PKCS7) could eventually exceed the stack given malicious input with
1946    excessive recursion. This could result in a Denial Of Service attack. There
1947    are no such structures used within SSL/TLS that come from untrusted sources
1948    so this is considered safe.
1949
1950    This issue was reported to OpenSSL on 4th January 2018 by the OSS-fuzz
1951    project.
1952    [CVE-2018-0739][]
1953
1954    *Matt Caswell*
1955
1956  * Incorrect CRYPTO_memcmp on HP-UX PA-RISC
1957
1958    Because of an implementation bug the PA-RISC CRYPTO_memcmp function is
1959    effectively reduced to only comparing the least significant bit of each
1960    byte. This allows an attacker to forge messages that would be considered as
1961    authenticated in an amount of tries lower than that guaranteed by the
1962    security claims of the scheme. The module can only be compiled by the
1963    HP-UX assembler, so that only HP-UX PA-RISC targets are affected.
1964
1965    This issue was reported to OpenSSL on 2nd March 2018 by Peter Waltenberg
1966    (IBM).
1967    [CVE-2018-0733][]
1968
1969    *Andy Polyakov*
1970
1971  * Add a build target 'build_all_generated', to build all generated files
1972    and only that.  This can be used to prepare everything that requires
1973    things like perl for a system that lacks perl and then move everything
1974    to that system and do the rest of the build there.
1975
1976    *Richard Levitte*
1977
1978  * Backport SSL_OP_NO_RENGOTIATION
1979
1980    OpenSSL 1.0.2 and below had the ability to disable renegotiation using the
1981    (undocumented) SSL3_FLAGS_NO_RENEGOTIATE_CIPHERS flag. Due to the opacity
1982    changes this is no longer possible in 1.1.0. Therefore the new
1983    SSL_OP_NO_RENEGOTIATION option from 1.1.1-dev has been backported to
1984    1.1.0 to provide equivalent functionality.
1985
1986    Note that if an application built against 1.1.0h headers (or above) is run
1987    using an older version of 1.1.0 (prior to 1.1.0h) then the option will be
1988    accepted but nothing will happen, i.e. renegotiation will not be prevented.
1989
1990    *Matt Caswell*
1991
1992  * Removed the OS390-Unix config target.  It relied on a script that doesn't
1993    exist.
1994
1995    *Rich Salz*
1996
1997  * rsaz_1024_mul_avx2 overflow bug on x86_64
1998
1999    There is an overflow bug in the AVX2 Montgomery multiplication procedure
2000    used in exponentiation with 1024-bit moduli. No EC algorithms are affected.
2001    Analysis suggests that attacks against RSA and DSA as a result of this
2002    defect would be very difficult to perform and are not believed likely.
2003    Attacks against DH1024 are considered just feasible, because most of the
2004    work necessary to deduce information about a private key may be performed
2005    offline. The amount of resources required for such an attack would be
2006    significant. However, for an attack on TLS to be meaningful, the server
2007    would have to share the DH1024 private key among multiple clients, which is
2008    no longer an option since CVE-2016-0701.
2009
2010    This only affects processors that support the AVX2 but not ADX extensions
2011    like Intel Haswell (4th generation).
2012
2013    This issue was reported to OpenSSL by David Benjamin (Google). The issue
2014    was originally found via the OSS-Fuzz project.
2015    [CVE-2017-3738][]
2016
2017    *Andy Polyakov*
2018
2019 ### Changes between 1.1.0f and 1.1.0g [2 Nov 2017] ###
2020
2021  * bn_sqrx8x_internal carry bug on x86_64
2022
2023    There is a carry propagating bug in the x86_64 Montgomery squaring
2024    procedure. No EC algorithms are affected. Analysis suggests that attacks
2025    against RSA and DSA as a result of this defect would be very difficult to
2026    perform and are not believed likely. Attacks against DH are considered just
2027    feasible (although very difficult) because most of the work necessary to
2028    deduce information about a private key may be performed offline. The amount
2029    of resources required for such an attack would be very significant and
2030    likely only accessible to a limited number of attackers. An attacker would
2031    additionally need online access to an unpatched system using the target
2032    private key in a scenario with persistent DH parameters and a private
2033    key that is shared between multiple clients.
2034
2035    This only affects processors that support the BMI1, BMI2 and ADX extensions
2036    like Intel Broadwell (5th generation) and later or AMD Ryzen.
2037
2038    This issue was reported to OpenSSL by the OSS-Fuzz project.
2039    [CVE-2017-3736][]
2040
2041    *Andy Polyakov*
2042
2043  * Malformed X.509 IPAddressFamily could cause OOB read
2044
2045    If an X.509 certificate has a malformed IPAddressFamily extension,
2046    OpenSSL could do a one-byte buffer overread. The most likely result
2047    would be an erroneous display of the certificate in text format.
2048
2049    This issue was reported to OpenSSL by the OSS-Fuzz project.
2050    [CVE-2017-3735][]
2051
2052    *Rich Salz*
2053
2054 ### Changes between 1.1.0e and 1.1.0f [25 May 2017] ###
2055
2056  * Have 'config' recognise 64-bit mingw and choose 'mingw64' as the target
2057    platform rather than 'mingw'.
2058
2059    *Richard Levitte*
2060
2061  * Remove the VMS-specific reimplementation of gmtime from crypto/o_times.c.
2062    VMS C's RTL has a fully up to date gmtime() and gmtime_r() since V7.1,
2063    which is the minimum version we support.
2064
2065    *Richard Levitte*
2066
2067 ### Changes between 1.1.0d and 1.1.0e [16 Feb 2017] ###
2068
2069  * Encrypt-Then-Mac renegotiation crash
2070
2071    During a renegotiation handshake if the Encrypt-Then-Mac extension is
2072    negotiated where it was not in the original handshake (or vice-versa) then
2073    this can cause OpenSSL to crash (dependant on ciphersuite). Both clients
2074    and servers are affected.
2075
2076    This issue was reported to OpenSSL by Joe Orton (Red Hat).
2077    [CVE-2017-3733][]
2078
2079    *Matt Caswell*
2080
2081 ### Changes between 1.1.0c and 1.1.0d [26 Jan 2017] ###
2082
2083  * Truncated packet could crash via OOB read
2084
2085    If one side of an SSL/TLS path is running on a 32-bit host and a specific
2086    cipher is being used, then a truncated packet can cause that host to
2087    perform an out-of-bounds read, usually resulting in a crash.
2088
2089    This issue was reported to OpenSSL by Robert Święcki of Google.
2090    [CVE-2017-3731][]
2091
2092    *Andy Polyakov*
2093
2094  * Bad (EC)DHE parameters cause a client crash
2095
2096    If a malicious server supplies bad parameters for a DHE or ECDHE key
2097    exchange then this can result in the client attempting to dereference a
2098    NULL pointer leading to a client crash. This could be exploited in a Denial
2099    of Service attack.
2100
2101    This issue was reported to OpenSSL by Guido Vranken.
2102    [CVE-2017-3730][]
2103
2104    *Matt Caswell*
2105
2106  * BN_mod_exp may produce incorrect results on x86_64
2107
2108    There is a carry propagating bug in the x86_64 Montgomery squaring
2109    procedure. No EC algorithms are affected. Analysis suggests that attacks
2110    against RSA and DSA as a result of this defect would be very difficult to
2111    perform and are not believed likely. Attacks against DH are considered just
2112    feasible (although very difficult) because most of the work necessary to
2113    deduce information about a private key may be performed offline. The amount
2114    of resources required for such an attack would be very significant and
2115    likely only accessible to a limited number of attackers. An attacker would
2116    additionally need online access to an unpatched system using the target
2117    private key in a scenario with persistent DH parameters and a private
2118    key that is shared between multiple clients. For example this can occur by
2119    default in OpenSSL DHE based SSL/TLS ciphersuites. Note: This issue is very
2120    similar to CVE-2015-3193 but must be treated as a separate problem.
2121
2122    This issue was reported to OpenSSL by the OSS-Fuzz project.
2123    [CVE-2017-3732][]
2124
2125    *Andy Polyakov*
2126
2127 ### Changes between 1.1.0b and 1.1.0c [10 Nov 2016] ###
2128
2129  * ChaCha20/Poly1305 heap-buffer-overflow
2130
2131    TLS connections using *-CHACHA20-POLY1305 ciphersuites are susceptible to
2132    a DoS attack by corrupting larger payloads. This can result in an OpenSSL
2133    crash. This issue is not considered to be exploitable beyond a DoS.
2134
2135    This issue was reported to OpenSSL by Robert Święcki (Google Security Team)
2136    [CVE-2016-7054][]
2137
2138    *Richard Levitte*
2139
2140  * CMS Null dereference
2141
2142    Applications parsing invalid CMS structures can crash with a NULL pointer
2143    dereference. This is caused by a bug in the handling of the ASN.1 CHOICE
2144    type in OpenSSL 1.1.0 which can result in a NULL value being passed to the
2145    structure callback if an attempt is made to free certain invalid encodings.
2146    Only CHOICE structures using a callback which do not handle NULL value are
2147    affected.
2148
2149    This issue was reported to OpenSSL by Tyler Nighswander of ForAllSecure.
2150    [CVE-2016-7053][]
2151
2152    *Stephen Henson*
2153
2154  * Montgomery multiplication may produce incorrect results
2155
2156    There is a carry propagating bug in the Broadwell-specific Montgomery
2157    multiplication procedure that handles input lengths divisible by, but
2158    longer than 256 bits. Analysis suggests that attacks against RSA, DSA
2159    and DH private keys are impossible. This is because the subroutine in
2160    question is not used in operations with the private key itself and an input
2161    of the attacker's direct choice. Otherwise the bug can manifest itself as
2162    transient authentication and key negotiation failures or reproducible
2163    erroneous outcome of public-key operations with specially crafted input.
2164    Among EC algorithms only Brainpool P-512 curves are affected and one
2165    presumably can attack ECDH key negotiation. Impact was not analyzed in
2166    detail, because pre-requisites for attack are considered unlikely. Namely
2167    multiple clients have to choose the curve in question and the server has to
2168    share the private key among them, neither of which is default behaviour.
2169    Even then only clients that chose the curve will be affected.
2170
2171    This issue was publicly reported as transient failures and was not
2172    initially recognized as a security issue. Thanks to Richard Morgan for
2173    providing reproducible case.
2174    [CVE-2016-7055][]
2175
2176    *Andy Polyakov*
2177
2178  * Removed automatic addition of RPATH in shared libraries and executables,
2179    as this was a remainder from OpenSSL 1.0.x and isn't needed any more.
2180
2181    *Richard Levitte*
2182
2183 ### Changes between 1.1.0a and 1.1.0b [26 Sep 2016] ###
2184
2185  * Fix Use After Free for large message sizes
2186
2187    The patch applied to address CVE-2016-6307 resulted in an issue where if a
2188    message larger than approx 16k is received then the underlying buffer to
2189    store the incoming message is reallocated and moved. Unfortunately a
2190    dangling pointer to the old location is left which results in an attempt to
2191    write to the previously freed location. This is likely to result in a
2192    crash, however it could potentially lead to execution of arbitrary code.
2193
2194    This issue only affects OpenSSL 1.1.0a.
2195
2196    This issue was reported to OpenSSL by Robert Święcki.
2197    [CVE-2016-6309][]
2198
2199    *Matt Caswell*
2200
2201 ### Changes between 1.1.0 and 1.1.0a [22 Sep 2016] ###
2202
2203  * OCSP Status Request extension unbounded memory growth
2204
2205    A malicious client can send an excessively large OCSP Status Request
2206    extension. If that client continually requests renegotiation, sending a
2207    large OCSP Status Request extension each time, then there will be unbounded
2208    memory growth on the server. This will eventually lead to a Denial Of
2209    Service attack through memory exhaustion. Servers with a default
2210    configuration are vulnerable even if they do not support OCSP. Builds using
2211    the "no-ocsp" build time option are not affected.
2212
2213    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
2214    [CVE-2016-6304][]
2215
2216    *Matt Caswell*
2217
2218  * SSL_peek() hang on empty record
2219
2220    OpenSSL 1.1.0 SSL/TLS will hang during a call to SSL_peek() if the peer
2221    sends an empty record. This could be exploited by a malicious peer in a
2222    Denial Of Service attack.
2223
2224    This issue was reported to OpenSSL by Alex Gaynor.
2225    [CVE-2016-6305][]
2226
2227    *Matt Caswell*
2228
2229  * Excessive allocation of memory in tls_get_message_header() and
2230    dtls1_preprocess_fragment()
2231
2232    A (D)TLS message includes 3 bytes for its length in the header for the
2233    message. This would allow for messages up to 16Mb in length. Messages of
2234    this length are excessive and OpenSSL includes a check to ensure that a
2235    peer is sending reasonably sized messages in order to avoid too much memory
2236    being consumed to service a connection. A flaw in the logic of version
2237    1.1.0 means that memory for the message is allocated too early, prior to
2238    the excessive message length check. Due to way memory is allocated in
2239    OpenSSL this could mean an attacker could force up to 21Mb to be allocated
2240    to service a connection. This could lead to a Denial of Service through
2241    memory exhaustion. However, the excessive message length check still takes
2242    place, and this would cause the connection to immediately fail. Assuming
2243    that the application calls SSL_free() on the failed connection in a timely
2244    manner then the 21Mb of allocated memory will then be immediately freed
2245    again. Therefore the excessive memory allocation will be transitory in
2246    nature. This then means that there is only a security impact if:
2247
2248    1) The application does not call SSL_free() in a timely manner in the event
2249    that the connection fails
2250    or
2251    2) The application is working in a constrained environment where there is
2252    very little free memory
2253    or
2254    3) The attacker initiates multiple connection attempts such that there are
2255    multiple connections in a state where memory has been allocated for the
2256    connection; SSL_free() has not yet been called; and there is insufficient
2257    memory to service the multiple requests.
2258
2259    Except in the instance of (1) above any Denial Of Service is likely to be
2260    transitory because as soon as the connection fails the memory is
2261    subsequently freed again in the SSL_free() call. However there is an
2262    increased risk during this period of application crashes due to the lack of
2263    memory - which would then mean a more serious Denial of Service.
2264
2265    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
2266    (CVE-2016-6307 and CVE-2016-6308)
2267
2268    *Matt Caswell*
2269
2270  * solaris-x86-cc, i.e. 32-bit configuration with vendor compiler,
2271    had to be removed. Primary reason is that vendor assembler can't
2272    assemble our modules with -KPIC flag. As result it, assembly
2273    support, was not even available as option. But its lack means
2274    lack of side-channel resistant code, which is incompatible with
2275    security by todays standards. Fortunately gcc is readily available
2276    prepackaged option, which we firmly point at...
2277
2278    *Andy Polyakov*
2279
2280 ### Changes between 1.0.2h and 1.1.0  [25 Aug 2016] ###
2281
2282  * Windows command-line tool supports UTF-8 opt-in option for arguments
2283    and console input. Setting OPENSSL_WIN32_UTF8 environment variable
2284    (to any value) allows Windows user to access PKCS#12 file generated
2285    with Windows CryptoAPI and protected with non-ASCII password, as well
2286    as files generated under UTF-8 locale on Linux also protected with
2287    non-ASCII password.
2288
2289    *Andy Polyakov*
2290
2291  * To mitigate the SWEET32 attack [CVE-2016-2183][], 3DES cipher suites
2292    have been disabled by default and removed from DEFAULT, just like RC4.
2293    See the RC4 item below to re-enable both.
2294
2295    *Rich Salz*
2296
2297  * The method for finding the storage location for the Windows RAND seed file
2298    has changed. First we check %RANDFILE%. If that is not set then we check
2299    the directories %HOME%, %USERPROFILE% and %SYSTEMROOT% in that order. If
2300    all else fails we fall back to C:\.
2301
2302    *Matt Caswell*
2303
2304  * The EVP_EncryptUpdate() function has had its return type changed from void
2305    to int. A return of 0 indicates and error while a return of 1 indicates
2306    success.
2307
2308    *Matt Caswell*
2309
2310  * The flags RSA_FLAG_NO_CONSTTIME, DSA_FLAG_NO_EXP_CONSTTIME and
2311    DH_FLAG_NO_EXP_CONSTTIME which previously provided the ability to switch
2312    off the constant time implementation for RSA, DSA and DH have been made
2313    no-ops and deprecated.
2314
2315    *Matt Caswell*
2316
2317  * Windows RAND implementation was simplified to only get entropy by
2318    calling CryptGenRandom(). Various other RAND-related tickets
2319    were also closed.
2320
2321    *Joseph Wylie Yandle, Rich Salz*
2322
2323  * The stack and lhash API's were renamed to start with OPENSSL_SK_
2324    and OPENSSL_LH_, respectively.  The old names are available
2325    with API compatibility.  They new names are now completely documented.
2326
2327    *Rich Salz*
2328
2329  * Unify TYPE_up_ref(obj) methods signature.
2330    SSL_CTX_up_ref(), SSL_up_ref(), X509_up_ref(), EVP_PKEY_up_ref(),
2331    X509_CRL_up_ref(), X509_OBJECT_up_ref_count() methods are now returning an
2332    int (instead of void) like all others TYPE_up_ref() methods.
2333    So now these methods also check the return value of CRYPTO_atomic_add(),
2334    and the validity of object reference counter.
2335
2336    *fdasilvayy@gmail.com*
2337
2338  * With Windows Visual Studio builds, the .pdb files are installed
2339    alongside the installed libraries and executables.  For a static
2340    library installation, ossl_static.pdb is the associate compiler
2341    generated .pdb file to be used when linking programs.
2342
2343    *Richard Levitte*
2344
2345  * Remove openssl.spec.  Packaging files belong with the packagers.
2346
2347    *Richard Levitte*
2348
2349  * Automatic Darwin/OSX configuration has had a refresh, it will now
2350    recognise x86_64 architectures automatically.  You can still decide
2351    to build for a different bitness with the environment variable
2352    KERNEL_BITS (can be 32 or 64), for example:
2353
2354            KERNEL_BITS=32 ./config
2355
2356    *Richard Levitte*
2357
2358  * Change default algorithms in pkcs8 utility to use PKCS#5 v2.0,
2359    256 bit AES and HMAC with SHA256.
2360
2361    *Steve Henson*
2362
2363  * Remove support for MIPS o32 ABI on IRIX (and IRIX only).
2364
2365    *Andy Polyakov*
2366
2367  * Triple-DES ciphers have been moved from HIGH to MEDIUM.
2368
2369    *Rich Salz*
2370
2371  * To enable users to have their own config files and build file templates,
2372    Configure looks in the directory indicated by the environment variable
2373    OPENSSL_LOCAL_CONFIG_DIR as well as the in-source Configurations/
2374    directory.  On VMS, OPENSSL_LOCAL_CONFIG_DIR is expected to be a logical
2375    name and is used as is.
2376
2377    *Richard Levitte*
2378
2379  * The following datatypes were made opaque: X509_OBJECT, X509_STORE_CTX,
2380    X509_STORE, X509_LOOKUP, and X509_LOOKUP_METHOD.  The unused type
2381    X509_CERT_FILE_CTX was removed.
2382
2383    *Rich Salz*
2384
2385  * "shared" builds are now the default. To create only static libraries use
2386    the "no-shared" Configure option.
2387
2388    *Matt Caswell*
2389
2390  * Remove the no-aes, no-hmac, no-rsa, no-sha and no-md5 Configure options.
2391    All of these option have not worked for some while and are fundamental
2392    algorithms.
2393
2394    *Matt Caswell*
2395
2396  * Make various cleanup routines no-ops and mark them as deprecated. Most
2397    global cleanup functions are no longer required because they are handled
2398    via auto-deinit (see OPENSSL_init_crypto and OPENSSL_init_ssl man pages).
2399    Explicitly de-initing can cause problems (e.g. where a library that uses
2400    OpenSSL de-inits, but an application is still using it). The affected
2401    functions are CONF_modules_free(), ENGINE_cleanup(), OBJ_cleanup(),
2402    EVP_cleanup(), BIO_sock_cleanup(), CRYPTO_cleanup_all_ex_data(),
2403    RAND_cleanup(), SSL_COMP_free_compression_methods(), ERR_free_strings() and
2404    COMP_zlib_cleanup().
2405
2406    *Matt Caswell*
2407
2408  * --strict-warnings no longer enables runtime debugging options
2409    such as REF_DEBUG. Instead, debug options are automatically
2410    enabled with '--debug' builds.
2411
2412    *Andy Polyakov, Emilia Käsper*
2413
2414  * Made DH and DH_METHOD opaque. The structures for managing DH objects
2415    have been moved out of the public header files. New functions for managing
2416    these have been added.
2417
2418    *Matt Caswell*
2419
2420  * Made RSA and RSA_METHOD opaque. The structures for managing RSA
2421    objects have been moved out of the public header files. New
2422    functions for managing these have been added.
2423
2424    *Richard Levitte*
2425
2426  * Made DSA and DSA_METHOD opaque. The structures for managing DSA objects
2427    have been moved out of the public header files. New functions for managing
2428    these have been added.
2429
2430    *Matt Caswell*
2431
2432  * Made BIO and BIO_METHOD opaque. The structures for managing BIOs have been
2433    moved out of the public header files. New functions for managing these
2434    have been added.
2435
2436    *Matt Caswell*
2437
2438  * Removed no-rijndael as a config option. Rijndael is an old name for AES.
2439
2440    *Matt Caswell*
2441
2442  * Removed the mk1mf build scripts.
2443
2444    *Richard Levitte*
2445
2446  * Headers are now wrapped, if necessary, with OPENSSL_NO_xxx, so
2447    it is always safe to #include a header now.
2448
2449    *Rich Salz*
2450
2451  * Removed the aged BC-32 config and all its supporting scripts
2452
2453    *Richard Levitte*
2454
2455  * Removed support for Ultrix, Netware, and OS/2.
2456
2457    *Rich Salz*
2458
2459  * Add support for HKDF.
2460
2461    *Alessandro Ghedini*
2462
2463  * Add support for blake2b and blake2s
2464
2465    *Bill Cox*
2466
2467  * Added support for "pipelining". Ciphers that have the
2468    EVP_CIPH_FLAG_PIPELINE flag set have a capability to process multiple
2469    encryptions/decryptions simultaneously. There are currently no built-in
2470    ciphers with this property but the expectation is that engines will be able
2471    to offer it to significantly improve throughput. Support has been extended
2472    into libssl so that multiple records for a single connection can be
2473    processed in one go (for >=TLS 1.1).
2474
2475    *Matt Caswell*
2476
2477  * Added the AFALG engine. This is an async capable engine which is able to
2478    offload work to the Linux kernel. In this initial version it only supports
2479    AES128-CBC. The kernel must be version 4.1.0 or greater.
2480
2481    *Catriona Lucey*
2482
2483  * OpenSSL now uses a new threading API. It is no longer necessary to
2484    set locking callbacks to use OpenSSL in a multi-threaded environment. There
2485    are two supported threading models: pthreads and windows threads. It is
2486    also possible to configure OpenSSL at compile time for "no-threads". The
2487    old threading API should no longer be used. The functions have been
2488    replaced with "no-op" compatibility macros.
2489
2490    *Alessandro Ghedini, Matt Caswell*
2491
2492  * Modify behavior of ALPN to invoke callback after SNI/servername
2493    callback, such that updates to the SSL_CTX affect ALPN.
2494
2495    *Todd Short*
2496
2497  * Add SSL_CIPHER queries for authentication and key-exchange.
2498
2499    *Todd Short*
2500
2501  * Changes to the DEFAULT cipherlist:
2502      - Prefer (EC)DHE handshakes over plain RSA.
2503      - Prefer AEAD ciphers over legacy ciphers.
2504      - Prefer ECDSA over RSA when both certificates are available.
2505      - Prefer TLSv1.2 ciphers/PRF.
2506      - Remove DSS, SEED, IDEA, CAMELLIA, and AES-CCM from the
2507        default cipherlist.
2508
2509    *Emilia Käsper*
2510
2511  * Change the ECC default curve list to be this, in order: x25519,
2512    secp256r1, secp521r1, secp384r1.
2513
2514    *Rich Salz*
2515
2516  * RC4 based libssl ciphersuites are now classed as "weak" ciphers and are
2517    disabled by default. They can be re-enabled using the
2518    enable-weak-ssl-ciphers option to Configure.
2519
2520    *Matt Caswell*
2521
2522  * If the server has ALPN configured, but supports no protocols that the
2523    client advertises, send a fatal "no_application_protocol" alert.
2524    This behaviour is SHALL in RFC 7301, though it isn't universally
2525    implemented by other servers.
2526
2527    *Emilia Käsper*
2528
2529  * Add X25519 support.
2530    Add ASN.1 and EVP_PKEY methods for X25519. This includes support
2531    for public and private key encoding using the format documented in
2532    draft-ietf-curdle-pkix-02. The corresponding EVP_PKEY method supports
2533    key generation and key derivation.
2534
2535    TLS support complies with draft-ietf-tls-rfc4492bis-08 and uses
2536    X25519(29).
2537
2538    *Steve Henson*
2539
2540  * Deprecate SRP_VBASE_get_by_user.
2541    SRP_VBASE_get_by_user had inconsistent memory management behaviour.
2542    In order to fix an unavoidable memory leak [CVE-2016-0798][],
2543    SRP_VBASE_get_by_user was changed to ignore the "fake user" SRP
2544    seed, even if the seed is configured.
2545
2546    Users should use SRP_VBASE_get1_by_user instead. Note that in
2547    SRP_VBASE_get1_by_user, caller must free the returned value. Note
2548    also that even though configuring the SRP seed attempts to hide
2549    invalid usernames by continuing the handshake with fake
2550    credentials, this behaviour is not constant time and no strong
2551    guarantees are made that the handshake is indistinguishable from
2552    that of a valid user.
2553
2554    *Emilia Käsper*
2555
2556  * Configuration change; it's now possible to build dynamic engines
2557    without having to build shared libraries and vice versa.  This
2558    only applies to the engines in engines/, those in crypto/engine/
2559    will always be built into libcrypto (i.e. "static").
2560
2561    Building dynamic engines is enabled by default; to disable, use
2562    the configuration option "disable-dynamic-engine".
2563
2564    The only requirements for building dynamic engines are the
2565    presence of the DSO module and building with position independent
2566    code, so they will also automatically be disabled if configuring
2567    with "disable-dso" or "disable-pic".
2568
2569    The macros OPENSSL_NO_STATIC_ENGINE and OPENSSL_NO_DYNAMIC_ENGINE
2570    are also taken away from openssl/opensslconf.h, as they are
2571    irrelevant.
2572
2573    *Richard Levitte*
2574
2575  * Configuration change; if there is a known flag to compile
2576    position independent code, it will always be applied on the
2577    libcrypto and libssl object files, and never on the application
2578    object files.  This means other libraries that use routines from
2579    libcrypto / libssl can be made into shared libraries regardless
2580    of how OpenSSL was configured.
2581
2582    If this isn't desirable, the configuration options "disable-pic"
2583    or "no-pic" can be used to disable the use of PIC.  This will
2584    also disable building shared libraries and dynamic engines.
2585
2586    *Richard Levitte*
2587
2588  * Removed JPAKE code.  It was experimental and has no wide use.
2589
2590    *Rich Salz*
2591
2592  * The INSTALL_PREFIX Makefile variable has been renamed to
2593    DESTDIR.  That makes for less confusion on what this variable
2594    is for.  Also, the configuration option --install_prefix is
2595    removed.
2596
2597    *Richard Levitte*
2598
2599  * Heartbeat for TLS has been removed and is disabled by default
2600    for DTLS; configure with enable-heartbeats.  Code that uses the
2601    old #define's might need to be updated.
2602
2603    *Emilia Käsper, Rich Salz*
2604
2605  * Rename REF_CHECK to REF_DEBUG.
2606
2607    *Rich Salz*
2608
2609  * New "unified" build system
2610
2611    The "unified" build system is aimed to be a common system for all
2612    platforms we support.  With it comes new support for VMS.
2613
2614    This system builds supports building in a different directory tree
2615    than the source tree.  It produces one Makefile (for unix family
2616    or lookalikes), or one descrip.mms (for VMS).
2617
2618    The source of information to make the Makefile / descrip.mms is
2619    small files called 'build.info', holding the necessary
2620    information for each directory with source to compile, and a
2621    template in Configurations, like unix-Makefile.tmpl or
2622    descrip.mms.tmpl.
2623
2624    With this change, the library names were also renamed on Windows
2625    and on VMS.  They now have names that are closer to the standard
2626    on Unix, and include the major version number, and in certain
2627    cases, the architecture they are built for.  See "Notes on shared
2628    libraries" in INSTALL.
2629
2630    We rely heavily on the perl module Text::Template.
2631
2632    *Richard Levitte*
2633
2634  * Added support for auto-initialisation and de-initialisation of the library.
2635    OpenSSL no longer requires explicit init or deinit routines to be called,
2636    except in certain circumstances. See the OPENSSL_init_crypto() and
2637    OPENSSL_init_ssl() man pages for further information.
2638
2639    *Matt Caswell*
2640
2641  * The arguments to the DTLSv1_listen function have changed. Specifically the
2642    "peer" argument is now expected to be a BIO_ADDR object.
2643
2644  * Rewrite of BIO networking library. The BIO library lacked consistent
2645    support of IPv6, and adding it required some more extensive
2646    modifications.  This introduces the BIO_ADDR and BIO_ADDRINFO types,
2647    which hold all types of addresses and chains of address information.
2648    It also introduces a new API, with functions like BIO_socket,
2649    BIO_connect, BIO_listen, BIO_lookup and a rewrite of BIO_accept.
2650    The source/sink BIOs BIO_s_connect, BIO_s_accept and BIO_s_datagram
2651    have been adapted accordingly.
2652
2653    *Richard Levitte*
2654
2655  * RSA_padding_check_PKCS1_type_1 now accepts inputs with and without
2656    the leading 0-byte.
2657
2658    *Emilia Käsper*
2659
2660  * CRIME protection: disable compression by default, even if OpenSSL is
2661    compiled with zlib enabled. Applications can still enable compression
2662    by calling SSL_CTX_clear_options(ctx, SSL_OP_NO_COMPRESSION), or by
2663    using the SSL_CONF library to configure compression.
2664
2665    *Emilia Käsper*
2666
2667  * The signature of the session callback configured with
2668    SSL_CTX_sess_set_get_cb was changed. The read-only input buffer
2669    was explicitly marked as 'const unsigned char*' instead of
2670    'unsigned char*'.
2671
2672    *Emilia Käsper*
2673
2674  * Always DPURIFY. Remove the use of uninitialized memory in the
2675    RNG, and other conditional uses of DPURIFY. This makes -DPURIFY a no-op.
2676
2677    *Emilia Käsper*
2678
2679  * Removed many obsolete configuration items, including
2680       DES_PTR, DES_RISC1, DES_RISC2, DES_INT
2681       MD2_CHAR, MD2_INT, MD2_LONG
2682       BF_PTR, BF_PTR2
2683       IDEA_SHORT, IDEA_LONG
2684       RC2_SHORT, RC2_LONG, RC4_LONG, RC4_CHUNK, RC4_INDEX
2685
2686    *Rich Salz, with advice from Andy Polyakov*
2687
2688  * Many BN internals have been moved to an internal header file.
2689
2690    *Rich Salz with help from Andy Polyakov*
2691
2692  * Configuration and writing out the results from it has changed.
2693    Files such as Makefile include/openssl/opensslconf.h and are now
2694    produced through general templates, such as Makefile.in and
2695    crypto/opensslconf.h.in and some help from the perl module
2696    Text::Template.
2697
2698    Also, the center of configuration information is no longer
2699    Makefile.  Instead, Configure produces a perl module in
2700    configdata.pm which holds most of the config data (in the hash
2701    table %config), the target data that comes from the target
2702    configuration in one of the Configurations/*.conf files (in
2703    %target).
2704
2705    *Richard Levitte*
2706
2707  * To clarify their intended purposes, the Configure options
2708    --prefix and --openssldir change their semantics, and become more
2709    straightforward and less interdependent.
2710
2711    --prefix shall be used exclusively to give the location INSTALLTOP
2712    where programs, scripts, libraries, include files and manuals are
2713    going to be installed.  The default is now /usr/local.
2714
2715    --openssldir shall be used exclusively to give the default
2716    location OPENSSLDIR where certificates, private keys, CRLs are
2717    managed.  This is also where the default openssl.cnf gets
2718    installed.
2719    If the directory given with this option is a relative path, the
2720    values of both the --prefix value and the --openssldir value will
2721    be combined to become OPENSSLDIR.
2722    The default for --openssldir is INSTALLTOP/ssl.
2723
2724    Anyone who uses --openssldir to specify where OpenSSL is to be
2725    installed MUST change to use --prefix instead.
2726
2727    *Richard Levitte*
2728
2729  * The GOST engine was out of date and therefore it has been removed. An up
2730    to date GOST engine is now being maintained in an external repository.
2731    See: https://wiki.openssl.org/index.php/Binaries. Libssl still retains
2732    support for GOST ciphersuites (these are only activated if a GOST engine
2733    is present).
2734
2735    *Matt Caswell*
2736
2737  * EGD is no longer supported by default; use enable-egd when
2738    configuring.
2739
2740    *Ben Kaduk and Rich Salz*
2741
2742  * The distribution now has Makefile.in files, which are used to
2743    create Makefile's when Configure is run.  *Configure must be run
2744    before trying to build now.*
2745
2746    *Rich Salz*
2747
2748  * The return value for SSL_CIPHER_description() for error conditions
2749    has changed.
2750
2751    *Rich Salz*
2752
2753  * Support for RFC6698/RFC7671 DANE TLSA peer authentication.
2754
2755    Obtaining and performing DNSSEC validation of TLSA records is
2756    the application's responsibility.  The application provides
2757    the TLSA records of its choice to OpenSSL, and these are then
2758    used to authenticate the peer.
2759
2760    The TLSA records need not even come from DNS.  They can, for
2761    example, be used to implement local end-entity certificate or
2762    trust-anchor "pinning", where the "pin" data takes the form
2763    of TLSA records, which can augment or replace verification
2764    based on the usual WebPKI public certification authorities.
2765
2766    *Viktor Dukhovni*
2767
2768  * Revert default OPENSSL_NO_DEPRECATED setting.  Instead OpenSSL
2769    continues to support deprecated interfaces in default builds.
2770    However, applications are strongly advised to compile their
2771    source files with -DOPENSSL_API_COMPAT=0x10100000L, which hides
2772    the declarations of all interfaces deprecated in 0.9.8, 1.0.0
2773    or the 1.1.0 releases.
2774
2775    In environments in which all applications have been ported to
2776    not use any deprecated interfaces OpenSSL's Configure script
2777    should be used with the --api=1.1.0 option to entirely remove
2778    support for the deprecated features from the library and
2779    unconditionally disable them in the installed headers.
2780    Essentially the same effect can be achieved with the "no-deprecated"
2781    argument to Configure, except that this will always restrict
2782    the build to just the latest API, rather than a fixed API
2783    version.
2784
2785    As applications are ported to future revisions of the API,
2786    they should update their compile-time OPENSSL_API_COMPAT define
2787    accordingly, but in most cases should be able to continue to
2788    compile with later releases.
2789
2790    The OPENSSL_API_COMPAT versions for 1.0.0, and 0.9.8 are
2791    0x10000000L and 0x00908000L, respectively.  However those
2792    versions did not support the OPENSSL_API_COMPAT feature, and
2793    so applications are not typically tested for explicit support
2794    of just the undeprecated features of either release.
2795
2796    *Viktor Dukhovni*
2797
2798  * Add support for setting the minimum and maximum supported protocol.
2799    It can bet set via the SSL_set_min_proto_version() and
2800    SSL_set_max_proto_version(), or via the SSL_CONF's MinProtocol and
2801    MaxProtocol.  It's recommended to use the new APIs to disable
2802    protocols instead of disabling individual protocols using
2803    SSL_set_options() or SSL_CONF's Protocol.  This change also
2804    removes support for disabling TLS 1.2 in the OpenSSL TLS
2805    client at compile time by defining OPENSSL_NO_TLS1_2_CLIENT.
2806
2807    *Kurt Roeckx*
2808
2809  * Support for ChaCha20 and Poly1305 added to libcrypto and libssl.
2810
2811    *Andy Polyakov*
2812
2813  * New EC_KEY_METHOD, this replaces the older ECDSA_METHOD and ECDH_METHOD
2814    and integrates ECDSA and ECDH functionality into EC. Implementations can
2815    now redirect key generation and no longer need to convert to or from
2816    ECDSA_SIG format.
2817
2818    Note: the ecdsa.h and ecdh.h headers are now no longer needed and just
2819    include the ec.h header file instead.
2820
2821    *Steve Henson*
2822
2823  * Remove support for all 40 and 56 bit ciphers.  This includes all the export
2824    ciphers who are no longer supported and drops support the ephemeral RSA key
2825    exchange. The LOW ciphers currently doesn't have any ciphers in it.
2826
2827    *Kurt Roeckx*
2828
2829  * Made EVP_MD_CTX, EVP_MD, EVP_CIPHER_CTX, EVP_CIPHER and HMAC_CTX
2830    opaque.  For HMAC_CTX, the following constructors and destructors
2831    were added:
2832
2833       HMAC_CTX *HMAC_CTX_new(void);
2834       void HMAC_CTX_free(HMAC_CTX *ctx);
2835
2836    For EVP_MD and EVP_CIPHER, complete APIs to create, fill and
2837    destroy such methods has been added.  See EVP_MD_meth_new(3) and
2838    EVP_CIPHER_meth_new(3) for documentation.
2839
2840    Additional changes:
2841    1) EVP_MD_CTX_cleanup(), EVP_CIPHER_CTX_cleanup() and
2842       HMAC_CTX_cleanup() were removed.  HMAC_CTX_reset() and
2843       EVP_MD_CTX_reset() should be called instead to reinitialise
2844       an already created structure.
2845    2) For consistency with the majority of our object creators and
2846       destructors, EVP_MD_CTX_(create|destroy) were renamed to
2847       EVP_MD_CTX_(new|free).  The old names are retained as macros
2848       for deprecated builds.
2849
2850    *Richard Levitte*
2851
2852  * Added ASYNC support. Libcrypto now includes the async sub-library to enable
2853    cryptographic operations to be performed asynchronously as long as an
2854    asynchronous capable engine is used. See the ASYNC_start_job() man page for
2855    further details. Libssl has also had this capability integrated with the
2856    introduction of the new mode SSL_MODE_ASYNC and associated error
2857    SSL_ERROR_WANT_ASYNC. See the SSL_CTX_set_mode() and SSL_get_error() man
2858    pages. This work was developed in partnership with Intel Corp.
2859
2860    *Matt Caswell*
2861
2862  * SSL_{CTX_}set_ecdh_auto() has been removed and ECDH is support is
2863    always enabled now.  If you want to disable the support you should
2864    exclude it using the list of supported ciphers. This also means that the
2865    "-no_ecdhe" option has been removed from s_server.
2866
2867    *Kurt Roeckx*
2868
2869  * SSL_{CTX}_set_tmp_ecdh() which can set 1 EC curve now internally calls
2870    SSL_{CTX_}set1_curves() which can set a list.
2871
2872    *Kurt Roeckx*
2873
2874  * Remove support for SSL_{CTX_}set_tmp_ecdh_callback().  You should set the
2875    curve you want to support using SSL_{CTX_}set1_curves().
2876
2877    *Kurt Roeckx*
2878
2879  * State machine rewrite. The state machine code has been significantly
2880    refactored in order to remove much duplication of code and solve issues
2881    with the old code (see ssl/statem/README for further details). This change
2882    does have some associated API changes. Notably the SSL_state() function
2883    has been removed and replaced by SSL_get_state which now returns an
2884    "OSSL_HANDSHAKE_STATE" instead of an int. SSL_set_state() has been removed
2885    altogether. The previous handshake states defined in ssl.h and ssl3.h have
2886    also been removed.
2887
2888    *Matt Caswell*
2889
2890  * All instances of the string "ssleay" in the public API were replaced
2891    with OpenSSL (case-matching; e.g., OPENSSL_VERSION for #define's)
2892    Some error codes related to internal RSA_eay API's were renamed.
2893
2894    *Rich Salz*
2895
2896  * The demo files in crypto/threads were moved to demo/threads.
2897
2898    *Rich Salz*
2899
2900  * Removed obsolete engines: 4758cca, aep, atalla, cswift, nuron, gmp,
2901    sureware and ubsec.
2902
2903    *Matt Caswell, Rich Salz*
2904
2905  * New ASN.1 embed macro.
2906
2907    New ASN.1 macro ASN1_EMBED. This is the same as ASN1_SIMPLE except the
2908    structure is not allocated: it is part of the parent. That is instead of
2909
2910            FOO *x;
2911
2912    it must be:
2913
2914            FOO x;
2915
2916    This reduces memory fragmentation and make it impossible to accidentally
2917    set a mandatory field to NULL.
2918
2919    This currently only works for some fields specifically a SEQUENCE, CHOICE,
2920    or ASN1_STRING type which is part of a parent SEQUENCE. Since it is
2921    equivalent to ASN1_SIMPLE it cannot be tagged, OPTIONAL, SET OF or
2922    SEQUENCE OF.
2923
2924    *Steve Henson*
2925
2926  * Remove EVP_CHECK_DES_KEY, a compile-time option that never compiled.
2927
2928    *Emilia Käsper*
2929
2930  * Removed DES and RC4 ciphersuites from DEFAULT. Also removed RC2 although
2931    in 1.0.2 EXPORT was already removed and the only RC2 ciphersuite is also
2932    an EXPORT one. COMPLEMENTOFDEFAULT has been updated accordingly to add
2933    DES and RC4 ciphersuites.
2934
2935    *Matt Caswell*
2936
2937  * Rewrite EVP_DecodeUpdate (base64 decoding) to fix several bugs.
2938    This changes the decoding behaviour for some invalid messages,
2939    though the change is mostly in the more lenient direction, and
2940    legacy behaviour is preserved as much as possible.
2941
2942    *Emilia Käsper*
2943
2944  * Fix no-stdio build.
2945    * David Woodhouse <David.Woodhouse@intel.com> and also
2946     Ivan Nestlerode <ivan.nestlerode@sonos.com> *
2947
2948  * New testing framework
2949    The testing framework has been largely rewritten and is now using
2950    perl and the perl modules Test::Harness and an extended variant of
2951    Test::More called OpenSSL::Test to do its work.  All test scripts in
2952    test/ have been rewritten into test recipes, and all direct calls to
2953    executables in test/Makefile have become individual recipes using the
2954    simplified testing OpenSSL::Test::Simple.
2955
2956    For documentation on our testing modules, do:
2957
2958            perldoc test/testlib/OpenSSL/Test/Simple.pm
2959            perldoc test/testlib/OpenSSL/Test.pm
2960
2961    *Richard Levitte*
2962
2963  * Revamped memory debug; only -DCRYPTO_MDEBUG and -DCRYPTO_MDEBUG_ABORT
2964    are used; the latter aborts on memory leaks (usually checked on exit).
2965    Some undocumented "set malloc, etc., hooks" functions were removed
2966    and others were changed.  All are now documented.
2967
2968    *Rich Salz*
2969
2970  * In DSA_generate_parameters_ex, if the provided seed is too short,
2971    return an error
2972
2973    *Rich Salz and Ismo Puustinen <ismo.puustinen@intel.com>*
2974
2975  * Rewrite PSK to support ECDHE_PSK, DHE_PSK and RSA_PSK. Add ciphersuites
2976    from RFC4279, RFC4785, RFC5487, RFC5489.
2977
2978    Thanks to Christian J. Dietrich and Giuseppe D'Angelo for the
2979    original RSA_PSK patch.
2980
2981    *Steve Henson*
2982
2983  * Dropped support for the SSL3_FLAGS_DELAY_CLIENT_FINISHED flag. This SSLeay
2984    era flag was never set throughout the codebase (only read). Also removed
2985    SSL3_FLAGS_POP_BUFFER which was only used if
2986    SSL3_FLAGS_DELAY_CLIENT_FINISHED was also set.
2987
2988    *Matt Caswell*
2989
2990  * Changed the default name options in the "ca", "crl", "req" and "x509"
2991    to be "oneline" instead of "compat".
2992
2993    *Richard Levitte*
2994
2995  * Remove SSL_OP_TLS_BLOCK_PADDING_BUG. This is SSLeay legacy, we're
2996    not aware of clients that still exhibit this bug, and the workaround
2997    hasn't been working properly for a while.
2998
2999    *Emilia Käsper*
3000
3001  * The return type of BIO_number_read() and BIO_number_written() as well as
3002    the corresponding num_read and num_write members in the BIO structure has
3003    changed from unsigned long to uint64_t. On platforms where an unsigned
3004    long is 32 bits (e.g. Windows) these counters could overflow if >4Gb is
3005    transferred.
3006
3007    *Matt Caswell*
3008
3009  * Given the pervasive nature of TLS extensions it is inadvisable to run
3010    OpenSSL without support for them. It also means that maintaining
3011    the OPENSSL_NO_TLSEXT option within the code is very invasive (and probably
3012    not well tested). Therefore the OPENSSL_NO_TLSEXT option has been removed.
3013
3014    *Matt Caswell*
3015
3016  * Removed support for the two export grade static DH ciphersuites
3017    EXP-DH-RSA-DES-CBC-SHA and EXP-DH-DSS-DES-CBC-SHA. These two ciphersuites
3018    were newly added (along with a number of other static DH ciphersuites) to
3019    1.0.2. However the two export ones have *never* worked since they were
3020    introduced. It seems strange in any case to be adding new export
3021    ciphersuites, and given "logjam" it also does not seem correct to fix them.
3022
3023    *Matt Caswell*
3024
3025  * Version negotiation has been rewritten. In particular SSLv23_method(),
3026    SSLv23_client_method() and SSLv23_server_method() have been deprecated,
3027    and turned into macros which simply call the new preferred function names
3028    TLS_method(), TLS_client_method() and TLS_server_method(). All new code
3029    should use the new names instead. Also as part of this change the ssl23.h
3030    header file has been removed.
3031
3032    *Matt Caswell*
3033
3034  * Support for Kerberos ciphersuites in TLS (RFC2712) has been removed. This
3035    code and the associated standard is no longer considered fit-for-purpose.
3036
3037    *Matt Caswell*
3038
3039  * RT2547 was closed.  When generating a private key, try to make the
3040    output file readable only by the owner.  This behavior change might
3041    be noticeable when interacting with other software.
3042
3043  * Documented all exdata functions.  Added CRYPTO_free_ex_index.
3044    Added a test.
3045
3046    *Rich Salz*
3047
3048  * Added HTTP GET support to the ocsp command.
3049
3050    *Rich Salz*
3051
3052  * Changed default digest for the dgst and enc commands from MD5 to
3053    sha256
3054
3055    *Rich Salz*
3056
3057  * RAND_pseudo_bytes has been deprecated. Users should use RAND_bytes instead.
3058
3059    *Matt Caswell*
3060
3061  * Added support for TLS extended master secret from
3062    draft-ietf-tls-session-hash-03.txt. Thanks for Alfredo Pironti for an
3063    initial patch which was a great help during development.
3064
3065    *Steve Henson*
3066
3067  * All libssl internal structures have been removed from the public header
3068    files, and the OPENSSL_NO_SSL_INTERN option has been removed (since it is
3069    now redundant). Users should not attempt to access internal structures
3070    directly. Instead they should use the provided API functions.
3071
3072    *Matt Caswell*
3073
3074  * config has been changed so that by default OPENSSL_NO_DEPRECATED is used.
3075    Access to deprecated functions can be re-enabled by running config with
3076    "enable-deprecated". In addition applications wishing to use deprecated
3077    functions must define OPENSSL_USE_DEPRECATED. Note that this new behaviour
3078    will, by default, disable some transitive includes that previously existed
3079    in the header files (e.g. ec.h will no longer, by default, include bn.h)
3080
3081    *Matt Caswell*
3082
3083  * Added support for OCB mode. OpenSSL has been granted a patent license
3084    compatible with the OpenSSL license for use of OCB. Details are available
3085    at https://www.openssl.org/source/OCB-patent-grant-OpenSSL.pdf. Support
3086    for OCB can be removed by calling config with no-ocb.
3087
3088    *Matt Caswell*
3089
3090  * SSLv2 support has been removed.  It still supports receiving a SSLv2
3091    compatible client hello.
3092
3093    *Kurt Roeckx*
3094
3095  * Increased the minimal RSA keysize from 256 to 512 bits [Rich Salz],
3096    done while fixing the error code for the key-too-small case.
3097
3098    *Annie Yousar <a.yousar@informatik.hu-berlin.de>*
3099
3100  * CA.sh has been removed; use CA.pl instead.
3101
3102    *Rich Salz*
3103
3104  * Removed old DES API.
3105
3106    *Rich Salz*
3107
3108  * Remove various unsupported platforms:
3109       Sony NEWS4
3110       BEOS and BEOS_R5
3111       NeXT
3112       SUNOS
3113       MPE/iX
3114       Sinix/ReliantUNIX RM400
3115       DGUX
3116       NCR
3117       Tandem
3118       Cray
3119       16-bit platforms such as WIN16
3120
3121    *Rich Salz*
3122
3123  * Clean up OPENSSL_NO_xxx #define's
3124     - Use setbuf() and remove OPENSSL_NO_SETVBUF_IONBF
3125     - Rename OPENSSL_SYSNAME_xxx to OPENSSL_SYS_xxx
3126     - OPENSSL_NO_EC{DH,DSA} merged into OPENSSL_NO_EC
3127     - OPENSSL_NO_RIPEMD160, OPENSSL_NO_RIPEMD merged into OPENSSL_NO_RMD160
3128     - OPENSSL_NO_FP_API merged into OPENSSL_NO_STDIO
3129     - Remove OPENSSL_NO_BIO OPENSSL_NO_BUFFER OPENSSL_NO_CHAIN_VERIFY
3130       OPENSSL_NO_EVP OPENSSL_NO_FIPS_ERR OPENSSL_NO_HASH_COMP
3131       OPENSSL_NO_LHASH OPENSSL_NO_OBJECT OPENSSL_NO_SPEED OPENSSL_NO_STACK
3132       OPENSSL_NO_X509 OPENSSL_NO_X509_VERIFY
3133     - Remove MS_STATIC; it's a relic from platforms <32 bits.
3134
3135    *Rich Salz*
3136
3137  * Cleaned up dead code
3138      Remove all but one '#ifdef undef' which is to be looked at.
3139
3140    *Rich Salz*
3141
3142  * Clean up calling of xxx_free routines.
3143       Just like free(), fix most of the xxx_free routines to accept
3144       NULL.  Remove the non-null checks from callers.  Save much code.
3145
3146    *Rich Salz*
3147
3148  * Add secure heap for storage of private keys (when possible).
3149    Add BIO_s_secmem(), CBIGNUM, etc.
3150    Contributed by Akamai Technologies under our Corporate CLA.
3151
3152    *Rich Salz*
3153
3154  * Experimental support for a new, fast, unbiased prime candidate generator,
3155    bn_probable_prime_dh_coprime(). Not currently used by any prime generator.
3156
3157    *Felix Laurie von Massenbach <felix@erbridge.co.uk>*
3158
3159  * New output format NSS in the sess_id command line tool. This allows
3160    exporting the session id and the master key in NSS keylog format.
3161
3162    *Martin Kaiser <martin@kaiser.cx>*
3163
3164  * Harmonize version and its documentation. -f flag is used to display
3165    compilation flags.
3166
3167    *mancha <mancha1@zoho.com>*
3168
3169  * Fix eckey_priv_encode so it immediately returns an error upon a failure
3170    in i2d_ECPrivateKey.  Thanks to Ted Unangst for feedback on this issue.
3171
3172    *mancha <mancha1@zoho.com>*
3173
3174  * Fix some double frees. These are not thought to be exploitable.
3175
3176    *mancha <mancha1@zoho.com>*
3177
3178  * A missing bounds check in the handling of the TLS heartbeat extension
3179    can be used to reveal up to 64k of memory to a connected client or
3180    server.
3181
3182    Thanks for Neel Mehta of Google Security for discovering this bug and to
3183    Adam Langley <agl@chromium.org> and Bodo Moeller <bmoeller@acm.org> for
3184    preparing the fix [CVE-2014-0160][]
3185
3186    *Adam Langley, Bodo Moeller*
3187
3188  * Fix for the attack described in the paper "Recovering OpenSSL
3189    ECDSA Nonces Using the FLUSH+RELOAD Cache Side-channel Attack"
3190    by Yuval Yarom and Naomi Benger. Details can be obtained from:
3191    http://eprint.iacr.org/2014/140
3192
3193    Thanks to Yuval Yarom and Naomi Benger for discovering this
3194    flaw and to Yuval Yarom for supplying a fix [CVE-2014-0076][]
3195
3196    *Yuval Yarom and Naomi Benger*
3197
3198  * Use algorithm specific chains in SSL_CTX_use_certificate_chain_file():
3199    this fixes a limitation in previous versions of OpenSSL.
3200
3201    *Steve Henson*
3202
3203  * Experimental encrypt-then-mac support.
3204
3205    Experimental support for encrypt then mac from
3206    draft-gutmann-tls-encrypt-then-mac-02.txt
3207
3208    To enable it set the appropriate extension number (0x42 for the test
3209    server) using e.g. -DTLSEXT_TYPE_encrypt_then_mac=0x42
3210
3211    For non-compliant peers (i.e. just about everything) this should have no
3212    effect.
3213
3214    WARNING: EXPERIMENTAL, SUBJECT TO CHANGE.
3215
3216
3217    *Steve Henson*
3218
3219  * Add EVP support for key wrapping algorithms, to avoid problems with
3220    existing code the flag EVP_CIPHER_CTX_WRAP_ALLOW has to be set in
3221    the EVP_CIPHER_CTX or an error is returned. Add AES and DES3 wrap
3222    algorithms and include tests cases.
3223
3224    *Steve Henson*
3225
3226  * Extend CMS code to support RSA-PSS signatures and RSA-OAEP for
3227    enveloped data.
3228
3229    *Steve Henson*
3230
3231  * Extended RSA OAEP support via EVP_PKEY API. Options to specify digest,
3232    MGF1 digest and OAEP label.
3233
3234    *Steve Henson*
3235
3236  * Make openssl verify return errors.
3237
3238    *Chris Palmer <palmer@google.com> and Ben Laurie*
3239
3240  * New function ASN1_TIME_diff to calculate the difference between two
3241    ASN1_TIME structures or one structure and the current time.
3242
3243    *Steve Henson*
3244
3245  * Update fips_test_suite to support multiple command line options. New
3246    test to induce all self test errors in sequence and check expected
3247    failures.
3248
3249    *Steve Henson*
3250
3251  * Add FIPS_{rsa,dsa,ecdsa}_{sign,verify} functions which digest and
3252    sign or verify all in one operation.
3253
3254    *Steve Henson*
3255
3256  * Add fips_algvs: a multicall fips utility incorporating all the algorithm
3257    test programs and fips_test_suite. Includes functionality to parse
3258    the minimal script output of fipsalgest.pl directly.
3259
3260    *Steve Henson*
3261
3262  * Add authorisation parameter to FIPS_module_mode_set().
3263
3264    *Steve Henson*
3265
3266  * Add FIPS selftest for ECDH algorithm using P-224 and B-233 curves.
3267
3268    *Steve Henson*
3269
3270  * Use separate DRBG fields for internal and external flags. New function
3271    FIPS_drbg_health_check() to perform on demand health checking. Add
3272    generation tests to fips_test_suite with reduced health check interval to
3273    demonstrate periodic health checking. Add "nodh" option to
3274    fips_test_suite to skip very slow DH test.
3275
3276    *Steve Henson*
3277
3278  * New function FIPS_get_cipherbynid() to lookup FIPS supported ciphers
3279    based on NID.
3280
3281    *Steve Henson*
3282
3283  * More extensive health check for DRBG checking many more failure modes.
3284    New function FIPS_selftest_drbg_all() to handle every possible DRBG
3285    combination: call this in fips_test_suite.
3286
3287    *Steve Henson*
3288
3289  * Add support for canonical generation of DSA parameter 'g'. See
3290    FIPS 186-3 A.2.3.
3291
3292  * Add support for HMAC DRBG from SP800-90. Update DRBG algorithm test and
3293    POST to handle HMAC cases.
3294
3295    *Steve Henson*
3296
3297  * Add functions FIPS_module_version() and FIPS_module_version_text()
3298    to return numerical and string versions of the FIPS module number.
3299
3300    *Steve Henson*
3301
3302  * Rename FIPS_mode_set and FIPS_mode to FIPS_module_mode_set and
3303    FIPS_module_mode. FIPS_mode and FIPS_mode_set will be implemented
3304    outside the validated module in the FIPS capable OpenSSL.
3305
3306    *Steve Henson*
3307
3308  * Minor change to DRBG entropy callback semantics. In some cases
3309    there is no multiple of the block length between min_len and
3310    max_len. Allow the callback to return more than max_len bytes
3311    of entropy but discard any extra: it is the callback's responsibility
3312    to ensure that the extra data discarded does not impact the
3313    requested amount of entropy.
3314
3315    *Steve Henson*
3316
3317  * Add PRNG security strength checks to RSA, DSA and ECDSA using
3318    information in FIPS186-3, SP800-57 and SP800-131A.
3319
3320    *Steve Henson*
3321
3322  * CCM support via EVP. Interface is very similar to GCM case except we
3323    must supply all data in one chunk (i.e. no update, final) and the
3324    message length must be supplied if AAD is used. Add algorithm test
3325    support.
3326
3327    *Steve Henson*
3328
3329  * Initial version of POST overhaul. Add POST callback to allow the status
3330    of POST to be monitored and/or failures induced. Modify fips_test_suite
3331    to use callback. Always run all selftests even if one fails.
3332
3333    *Steve Henson*
3334
3335  * XTS support including algorithm test driver in the fips_gcmtest program.
3336    Note: this does increase the maximum key length from 32 to 64 bytes but
3337    there should be no binary compatibility issues as existing applications
3338    will never use XTS mode.
3339
3340    *Steve Henson*
3341
3342  * Extensive reorganisation of FIPS PRNG behaviour. Remove all dependencies
3343    to OpenSSL RAND code and replace with a tiny FIPS RAND API which also
3344    performs algorithm blocking for unapproved PRNG types. Also do not
3345    set PRNG type in FIPS_mode_set(): leave this to the application.
3346    Add default OpenSSL DRBG handling: sets up FIPS PRNG and seeds with
3347    the standard OpenSSL PRNG: set additional data to a date time vector.
3348
3349    *Steve Henson*
3350
3351  * Rename old X9.31 PRNG functions of the form FIPS_rand* to FIPS_x931*.
3352    This shouldn't present any incompatibility problems because applications
3353    shouldn't be using these directly and any that are will need to rethink
3354    anyway as the X9.31 PRNG is now deprecated by FIPS 140-2
3355
3356    *Steve Henson*
3357
3358  * Extensive self tests and health checking required by SP800-90 DRBG.
3359    Remove strength parameter from FIPS_drbg_instantiate and always
3360    instantiate at maximum supported strength.
3361
3362    *Steve Henson*
3363
3364  * Add ECDH code to fips module and fips_ecdhvs for primitives only testing.
3365
3366    *Steve Henson*
3367
3368  * New algorithm test program fips_dhvs to handle DH primitives only testing.
3369
3370    *Steve Henson*
3371
3372  * New function DH_compute_key_padded() to compute a DH key and pad with
3373    leading zeroes if needed: this complies with SP800-56A et al.
3374
3375    *Steve Henson*
3376
3377  * Initial implementation of SP800-90 DRBGs for Hash and CTR. Not used by
3378    anything, incomplete, subject to change and largely untested at present.
3379
3380    *Steve Henson*
3381
3382  * Modify fipscanisteronly build option to only build the necessary object
3383    files by filtering FIPS_EX_OBJ through a perl script in crypto/Makefile.
3384
3385    *Steve Henson*
3386
3387  * Add experimental option FIPSSYMS to give all symbols in
3388    fipscanister.o and FIPS or fips prefix. This will avoid
3389    conflicts with future versions of OpenSSL. Add perl script
3390    util/fipsas.pl to preprocess assembly language source files
3391    and rename any affected symbols.
3392
3393    *Steve Henson*
3394
3395  * Add selftest checks and algorithm block of non-fips algorithms in
3396    FIPS mode. Remove DES2 from selftests.
3397
3398    *Steve Henson*
3399
3400  * Add ECDSA code to fips module. Add tiny fips_ecdsa_check to just
3401    return internal method without any ENGINE dependencies. Add new
3402    tiny fips sign and verify functions.
3403
3404    *Steve Henson*
3405
3406  * New build option no-ec2m to disable characteristic 2 code.
3407
3408    *Steve Henson*
3409
3410  * New build option "fipscanisteronly". This only builds fipscanister.o
3411    and (currently) associated fips utilities. Uses the file Makefile.fips
3412    instead of Makefile.org as the prototype.
3413
3414    *Steve Henson*
3415
3416  * Add some FIPS mode restrictions to GCM. Add internal IV generator.
3417    Update fips_gcmtest to use IV generator.
3418
3419    *Steve Henson*
3420
3421  * Initial, experimental EVP support for AES-GCM. AAD can be input by
3422    setting output buffer to NULL. The *Final function must be
3423    called although it will not retrieve any additional data. The tag
3424    can be set or retrieved with a ctrl. The IV length is by default 12
3425    bytes (96 bits) but can be set to an alternative value. If the IV
3426    length exceeds the maximum IV length (currently 16 bytes) it cannot be
3427    set before the key.
3428
3429    *Steve Henson*
3430
3431  * New flag in ciphers: EVP_CIPH_FLAG_CUSTOM_CIPHER. This means the
3432    underlying do_cipher function handles all cipher semantics itself
3433    including padding and finalisation. This is useful if (for example)
3434    an ENGINE cipher handles block padding itself. The behaviour of
3435    do_cipher is subtly changed if this flag is set: the return value
3436    is the number of characters written to the output buffer (zero is
3437    no longer an error code) or a negative error code. Also if the
3438    input buffer is NULL and length 0 finalisation should be performed.
3439
3440    *Steve Henson*
3441
3442  * If a candidate issuer certificate is already part of the constructed
3443    path ignore it: new debug notification X509_V_ERR_PATH_LOOP for this case.
3444
3445    *Steve Henson*
3446
3447  * Improve forward-security support: add functions
3448
3449            void SSL_CTX_set_not_resumable_session_callback(
3450                     SSL_CTX *ctx, int (*cb)(SSL *ssl, int is_forward_secure))
3451            void SSL_set_not_resumable_session_callback(
3452                     SSL *ssl, int (*cb)(SSL *ssl, int is_forward_secure))
3453
3454    for use by SSL/TLS servers; the callback function will be called whenever a
3455    new session is created, and gets to decide whether the session may be
3456    cached to make it resumable (return 0) or not (return 1).  (As by the
3457    SSL/TLS protocol specifications, the session_id sent by the server will be
3458    empty to indicate that the session is not resumable; also, the server will
3459    not generate RFC 4507 (RFC 5077) session tickets.)
3460
3461    A simple reasonable callback implementation is to return is_forward_secure.
3462    This parameter will be set to 1 or 0 depending on the ciphersuite selected
3463    by the SSL/TLS server library, indicating whether it can provide forward
3464    security.
3465
3466    *Emilia Käsper <emilia.kasper@esat.kuleuven.be> (Google)*
3467
3468  * New -verify_name option in command line utilities to set verification
3469    parameters by name.
3470
3471    *Steve Henson*
3472
3473  * Initial CMAC implementation. WARNING: EXPERIMENTAL, API MAY CHANGE.
3474    Add CMAC pkey methods.
3475
3476    *Steve Henson*
3477
3478  * Experimental renegotiation in s_server -www mode. If the client
3479    browses /reneg connection is renegotiated. If /renegcert it is
3480    renegotiated requesting a certificate.
3481
3482    *Steve Henson*
3483
3484  * Add an "external" session cache for debugging purposes to s_server. This
3485    should help trace issues which normally are only apparent in deployed
3486    multi-process servers.
3487
3488    *Steve Henson*
3489
3490  * Extensive audit of libcrypto with DEBUG_UNUSED. Fix many cases where
3491    return value is ignored. NB. The functions RAND_add(), RAND_seed(),
3492    BIO_set_cipher() and some obscure PEM functions were changed so they
3493    can now return an error. The RAND changes required a change to the
3494    RAND_METHOD structure.
3495
3496    *Steve Henson*
3497
3498  * New macro `__owur` for "OpenSSL Warn Unused Result". This makes use of
3499    a gcc attribute to warn if the result of a function is ignored. This
3500    is enable if DEBUG_UNUSED is set. Add to several functions in evp.h
3501    whose return value is often ignored.
3502
3503    *Steve Henson*
3504
3505  * New -noct, -requestct, -requirect and -ctlogfile options for s_client.
3506    These allow SCTs (signed certificate timestamps) to be requested and
3507    validated when establishing a connection.
3508
3509    *Rob Percival <robpercival@google.com>*
3510
3511 OpenSSL 1.0.2
3512 -------------
3513
3514 ### Changes between 1.0.2s and 1.0.2t [10 Sep 2019] ###
3515
3516  * For built-in EC curves, ensure an EC_GROUP built from the curve name is
3517    used even when parsing explicit parameters, when loading a serialized key
3518    or calling `EC_GROUP_new_from_ecpkparameters()`/
3519    `EC_GROUP_new_from_ecparameters()`.
3520    This prevents bypass of security hardening and performance gains,
3521    especially for curves with specialized EC_METHODs.
3522    By default, if a key encoded with explicit parameters is loaded and later
3523    serialized, the output is still encoded with explicit parameters, even if
3524    internally a "named" EC_GROUP is used for computation.
3525
3526    *Nicola Tuveri*
3527
3528  * Compute ECC cofactors if not provided during EC_GROUP construction. Before
3529    this change, EC_GROUP_set_generator would accept order and/or cofactor as
3530    NULL. After this change, only the cofactor parameter can be NULL. It also
3531    does some minimal sanity checks on the passed order.
3532    [CVE-2019-1547][]
3533
3534    *Billy Bob Brumley*
3535
3536  * Fixed a padding oracle in PKCS7_dataDecode and CMS_decrypt_set1_pkey.
3537    An attack is simple, if the first CMS_recipientInfo is valid but the
3538    second CMS_recipientInfo is chosen ciphertext. If the second
3539    recipientInfo decodes to PKCS #1 v1.5 form plaintext, the correct
3540    encryption key will be replaced by garbage, and the message cannot be
3541    decoded, but if the RSA decryption fails, the correct encryption key is
3542    used and the recipient will not notice the attack.
3543    As a work around for this potential attack the length of the decrypted
3544    key must be equal to the cipher default key length, in case the
3545    certifiate is not given and all recipientInfo are tried out.
3546    The old behaviour can be re-enabled in the CMS code by setting the
3547    CMS_DEBUG_DECRYPT flag.
3548    [CVE-2019-1563][]
3549
3550    *Bernd Edlinger*
3551
3552  * Document issue with installation paths in diverse Windows builds
3553
3554    '/usr/local/ssl' is an unsafe prefix for location to install OpenSSL
3555    binaries and run-time config file.
3556    [CVE-2019-1552][]
3557
3558    *Richard Levitte*
3559
3560 ### Changes between 1.0.2r and 1.0.2s [28 May 2019] ###
3561
3562  * Change the default RSA, DSA and DH size to 2048 bit instead of 1024.
3563    This changes the size when using the genpkey app when no size is given. It
3564    fixes an omission in earlier changes that changed all RSA, DSA and DH
3565    generation apps to use 2048 bits by default.
3566
3567    *Kurt Roeckx*
3568
3569  * Add FIPS support for Android Arm 64-bit
3570
3571    Support for Android Arm 64-bit was added to the OpenSSL FIPS Object
3572    Module in Version 2.0.10. For some reason, the corresponding target
3573    'android64-aarch64' was missing OpenSSL 1.0.2, whence it could not be
3574    built with FIPS support on Android Arm 64-bit. This omission has been
3575    fixed.
3576
3577    *Matthias St. Pierre*
3578
3579 ### Changes between 1.0.2q and 1.0.2r [26 Feb 2019] ###
3580
3581  * 0-byte record padding oracle
3582
3583    If an application encounters a fatal protocol error and then calls
3584    SSL_shutdown() twice (once to send a close_notify, and once to receive one)
3585    then OpenSSL can respond differently to the calling application if a 0 byte
3586    record is received with invalid padding compared to if a 0 byte record is
3587    received with an invalid MAC. If the application then behaves differently
3588    based on that in a way that is detectable to the remote peer, then this
3589    amounts to a padding oracle that could be used to decrypt data.
3590
3591    In order for this to be exploitable "non-stitched" ciphersuites must be in
3592    use. Stitched ciphersuites are optimised implementations of certain
3593    commonly used ciphersuites. Also the application must call SSL_shutdown()
3594    twice even if a protocol error has occurred (applications should not do
3595    this but some do anyway).
3596
3597    This issue was discovered by Juraj Somorovsky, Robert Merget and Nimrod
3598    Aviram, with additional investigation by Steven Collison and Andrew
3599    Hourselt. It was reported to OpenSSL on 10th December 2018.
3600    [CVE-2019-1559][]
3601
3602    *Matt Caswell*
3603
3604  * Move strictness check from EVP_PKEY_asn1_new() to EVP_PKEY_asn1_add0().
3605
3606    *Richard Levitte*
3607
3608 ### Changes between 1.0.2p and 1.0.2q [20 Nov 2018] ###
3609
3610  * Microarchitecture timing vulnerability in ECC scalar multiplication
3611
3612    OpenSSL ECC scalar multiplication, used in e.g. ECDSA and ECDH, has been
3613    shown to be vulnerable to a microarchitecture timing side channel attack.
3614    An attacker with sufficient access to mount local timing attacks during
3615    ECDSA signature generation could recover the private key.
3616
3617    This issue was reported to OpenSSL on 26th October 2018 by Alejandro
3618    Cabrera Aldaya, Billy Brumley, Sohaib ul Hassan, Cesar Pereida Garcia and
3619    Nicola Tuveri.
3620    [CVE-2018-5407][]
3621
3622    *Billy Brumley*
3623
3624  * Timing vulnerability in DSA signature generation
3625
3626    The OpenSSL DSA signature algorithm has been shown to be vulnerable to a
3627    timing side channel attack. An attacker could use variations in the signing
3628    algorithm to recover the private key.
3629
3630    This issue was reported to OpenSSL on 16th October 2018 by Samuel Weiser.
3631    [CVE-2018-0734][]
3632
3633    *Paul Dale*
3634
3635  * Resolve a compatibility issue in EC_GROUP handling with the FIPS Object
3636    Module, accidentally introduced while backporting security fixes from the
3637    development branch and hindering the use of ECC in FIPS mode.
3638
3639    *Nicola Tuveri*
3640
3641 ### Changes between 1.0.2o and 1.0.2p [14 Aug 2018] ###
3642
3643  * Client DoS due to large DH parameter
3644
3645    During key agreement in a TLS handshake using a DH(E) based ciphersuite a
3646    malicious server can send a very large prime value to the client. This will
3647    cause the client to spend an unreasonably long period of time generating a
3648    key for this prime resulting in a hang until the client has finished. This
3649    could be exploited in a Denial Of Service attack.
3650
3651    This issue was reported to OpenSSL on 5th June 2018 by Guido Vranken
3652    [CVE-2018-0732][]
3653
3654    *Guido Vranken*
3655
3656  * Cache timing vulnerability in RSA Key Generation
3657
3658    The OpenSSL RSA Key generation algorithm has been shown to be vulnerable to
3659    a cache timing side channel attack. An attacker with sufficient access to
3660    mount cache timing attacks during the RSA key generation process could
3661    recover the private key.
3662
3663    This issue was reported to OpenSSL on 4th April 2018 by Alejandro Cabrera
3664    Aldaya, Billy Brumley, Cesar Pereida Garcia and Luis Manuel Alvarez Tapia.
3665    [CVE-2018-0737][]
3666
3667    *Billy Brumley*
3668
3669  * Make EVP_PKEY_asn1_new() a bit stricter about its input.  A NULL pem_str
3670    parameter is no longer accepted, as it leads to a corrupt table.  NULL
3671    pem_str is reserved for alias entries only.
3672
3673    *Richard Levitte*
3674
3675  * Revert blinding in ECDSA sign and instead make problematic addition
3676    length-invariant. Switch even to fixed-length Montgomery multiplication.
3677
3678    *Andy Polyakov*
3679
3680  * Change generating and checking of primes so that the error rate of not
3681    being prime depends on the intended use based on the size of the input.
3682    For larger primes this will result in more rounds of Miller-Rabin.
3683    The maximal error rate for primes with more than 1080 bits is lowered
3684    to 2^-128.
3685
3686    *Kurt Roeckx, Annie Yousar*
3687
3688  * Increase the number of Miller-Rabin rounds for DSA key generating to 64.
3689
3690    *Kurt Roeckx*
3691
3692  * Add blinding to ECDSA and DSA signatures to protect against side channel
3693    attacks discovered by Keegan Ryan (NCC Group).
3694
3695    *Matt Caswell*
3696
3697  * When unlocking a pass phrase protected PEM file or PKCS#8 container, we
3698    now allow empty (zero character) pass phrases.
3699
3700    *Richard Levitte*
3701
3702  * Certificate time validation (X509_cmp_time) enforces stricter
3703    compliance with RFC 5280. Fractional seconds and timezone offsets
3704    are no longer allowed.
3705
3706    *Emilia Käsper*
3707
3708 ### Changes between 1.0.2n and 1.0.2o [27 Mar 2018] ###
3709
3710  * Constructed ASN.1 types with a recursive definition could exceed the stack
3711
3712    Constructed ASN.1 types with a recursive definition (such as can be found
3713    in PKCS7) could eventually exceed the stack given malicious input with
3714    excessive recursion. This could result in a Denial Of Service attack. There
3715    are no such structures used within SSL/TLS that come from untrusted sources
3716    so this is considered safe.
3717
3718    This issue was reported to OpenSSL on 4th January 2018 by the OSS-fuzz
3719    project.
3720    [CVE-2018-0739][]
3721
3722    *Matt Caswell*
3723
3724 ### Changes between 1.0.2m and 1.0.2n [7 Dec 2017] ###
3725
3726  * Read/write after SSL object in error state
3727
3728    OpenSSL 1.0.2 (starting from version 1.0.2b) introduced an "error state"
3729    mechanism. The intent was that if a fatal error occurred during a handshake
3730    then OpenSSL would move into the error state and would immediately fail if
3731    you attempted to continue the handshake. This works as designed for the
3732    explicit handshake functions (SSL_do_handshake(), SSL_accept() and
3733    SSL_connect()), however due to a bug it does not work correctly if
3734    SSL_read() or SSL_write() is called directly. In that scenario, if the
3735    handshake fails then a fatal error will be returned in the initial function
3736    call. If SSL_read()/SSL_write() is subsequently called by the application
3737    for the same SSL object then it will succeed and the data is passed without
3738    being decrypted/encrypted directly from the SSL/TLS record layer.
3739
3740    In order to exploit this issue an application bug would have to be present
3741    that resulted in a call to SSL_read()/SSL_write() being issued after having
3742    already received a fatal error.
3743
3744    This issue was reported to OpenSSL by David Benjamin (Google).
3745    [CVE-2017-3737][]
3746
3747    *Matt Caswell*
3748
3749  * rsaz_1024_mul_avx2 overflow bug on x86_64
3750
3751    There is an overflow bug in the AVX2 Montgomery multiplication procedure
3752    used in exponentiation with 1024-bit moduli. No EC algorithms are affected.
3753    Analysis suggests that attacks against RSA and DSA as a result of this
3754    defect would be very difficult to perform and are not believed likely.
3755    Attacks against DH1024 are considered just feasible, because most of the
3756    work necessary to deduce information about a private key may be performed
3757    offline. The amount of resources required for such an attack would be
3758    significant. However, for an attack on TLS to be meaningful, the server
3759    would have to share the DH1024 private key among multiple clients, which is
3760    no longer an option since CVE-2016-0701.
3761
3762    This only affects processors that support the AVX2 but not ADX extensions
3763    like Intel Haswell (4th generation).
3764
3765    This issue was reported to OpenSSL by David Benjamin (Google). The issue
3766    was originally found via the OSS-Fuzz project.
3767    [CVE-2017-3738][]
3768
3769    *Andy Polyakov*
3770
3771 ### Changes between 1.0.2l and 1.0.2m [2 Nov 2017] ###
3772
3773  * bn_sqrx8x_internal carry bug on x86_64
3774
3775    There is a carry propagating bug in the x86_64 Montgomery squaring
3776    procedure. No EC algorithms are affected. Analysis suggests that attacks
3777    against RSA and DSA as a result of this defect would be very difficult to
3778    perform and are not believed likely. Attacks against DH are considered just
3779    feasible (although very difficult) because most of the work necessary to
3780    deduce information about a private key may be performed offline. The amount
3781    of resources required for such an attack would be very significant and
3782    likely only accessible to a limited number of attackers. An attacker would
3783    additionally need online access to an unpatched system using the target
3784    private key in a scenario with persistent DH parameters and a private
3785    key that is shared between multiple clients.
3786
3787    This only affects processors that support the BMI1, BMI2 and ADX extensions
3788    like Intel Broadwell (5th generation) and later or AMD Ryzen.
3789
3790    This issue was reported to OpenSSL by the OSS-Fuzz project.
3791    [CVE-2017-3736][]
3792
3793    *Andy Polyakov*
3794
3795  * Malformed X.509 IPAddressFamily could cause OOB read
3796
3797    If an X.509 certificate has a malformed IPAddressFamily extension,
3798    OpenSSL could do a one-byte buffer overread. The most likely result
3799    would be an erroneous display of the certificate in text format.
3800
3801    This issue was reported to OpenSSL by the OSS-Fuzz project.
3802    [CVE-2017-3735][]
3803
3804    *Rich Salz*
3805
3806 ### Changes between 1.0.2k and 1.0.2l [25 May 2017] ###
3807
3808  * Have 'config' recognise 64-bit mingw and choose 'mingw64' as the target
3809    platform rather than 'mingw'.
3810
3811    *Richard Levitte*
3812
3813 ### Changes between 1.0.2j and 1.0.2k [26 Jan 2017] ###
3814
3815  * Truncated packet could crash via OOB read
3816
3817    If one side of an SSL/TLS path is running on a 32-bit host and a specific
3818    cipher is being used, then a truncated packet can cause that host to
3819    perform an out-of-bounds read, usually resulting in a crash.
3820
3821    This issue was reported to OpenSSL by Robert Święcki of Google.
3822    [CVE-2017-3731][]
3823
3824    *Andy Polyakov*
3825
3826  * BN_mod_exp may produce incorrect results on x86_64
3827
3828    There is a carry propagating bug in the x86_64 Montgomery squaring
3829    procedure. No EC algorithms are affected. Analysis suggests that attacks
3830    against RSA and DSA as a result of this defect would be very difficult to
3831    perform and are not believed likely. Attacks against DH are considered just
3832    feasible (although very difficult) because most of the work necessary to
3833    deduce information about a private key may be performed offline. The amount
3834    of resources required for such an attack would be very significant and
3835    likely only accessible to a limited number of attackers. An attacker would
3836    additionally need online access to an unpatched system using the target
3837    private key in a scenario with persistent DH parameters and a private
3838    key that is shared between multiple clients. For example this can occur by
3839    default in OpenSSL DHE based SSL/TLS ciphersuites. Note: This issue is very
3840    similar to CVE-2015-3193 but must be treated as a separate problem.
3841
3842    This issue was reported to OpenSSL by the OSS-Fuzz project.
3843    [CVE-2017-3732][]
3844
3845    *Andy Polyakov*
3846
3847  * Montgomery multiplication may produce incorrect results
3848
3849    There is a carry propagating bug in the Broadwell-specific Montgomery
3850    multiplication procedure that handles input lengths divisible by, but
3851    longer than 256 bits. Analysis suggests that attacks against RSA, DSA
3852    and DH private keys are impossible. This is because the subroutine in
3853    question is not used in operations with the private key itself and an input
3854    of the attacker's direct choice. Otherwise the bug can manifest itself as
3855    transient authentication and key negotiation failures or reproducible
3856    erroneous outcome of public-key operations with specially crafted input.
3857    Among EC algorithms only Brainpool P-512 curves are affected and one
3858    presumably can attack ECDH key negotiation. Impact was not analyzed in
3859    detail, because pre-requisites for attack are considered unlikely. Namely
3860    multiple clients have to choose the curve in question and the server has to
3861    share the private key among them, neither of which is default behaviour.
3862    Even then only clients that chose the curve will be affected.
3863
3864    This issue was publicly reported as transient failures and was not
3865    initially recognized as a security issue. Thanks to Richard Morgan for
3866    providing reproducible case.
3867    [CVE-2016-7055][]
3868
3869    *Andy Polyakov*
3870
3871  * OpenSSL now fails if it receives an unrecognised record type in TLS1.0
3872    or TLS1.1. Previously this only happened in SSLv3 and TLS1.2. This is to
3873    prevent issues where no progress is being made and the peer continually
3874    sends unrecognised record types, using up resources processing them.
3875
3876    *Matt Caswell*
3877
3878 ### Changes between 1.0.2i and 1.0.2j [26 Sep 2016] ###
3879
3880  * Missing CRL sanity check
3881
3882    A bug fix which included a CRL sanity check was added to OpenSSL 1.1.0
3883    but was omitted from OpenSSL 1.0.2i. As a result any attempt to use
3884    CRLs in OpenSSL 1.0.2i will crash with a null pointer exception.
3885
3886    This issue only affects the OpenSSL 1.0.2i
3887    [CVE-2016-7052][]
3888
3889    *Matt Caswell*
3890
3891 ### Changes between 1.0.2h and 1.0.2i [22 Sep 2016] ###
3892
3893  * OCSP Status Request extension unbounded memory growth
3894
3895    A malicious client can send an excessively large OCSP Status Request
3896    extension. If that client continually requests renegotiation, sending a
3897    large OCSP Status Request extension each time, then there will be unbounded
3898    memory growth on the server. This will eventually lead to a Denial Of
3899    Service attack through memory exhaustion. Servers with a default
3900    configuration are vulnerable even if they do not support OCSP. Builds using
3901    the "no-ocsp" build time option are not affected.
3902
3903    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
3904    [CVE-2016-6304][]
3905
3906    *Matt Caswell*
3907
3908  * In order to mitigate the SWEET32 attack, the DES ciphers were moved from
3909    HIGH to MEDIUM.
3910
3911    This issue was reported to OpenSSL Karthikeyan Bhargavan and Gaetan
3912    Leurent (INRIA)
3913    [CVE-2016-2183][]
3914
3915    *Rich Salz*
3916
3917  * OOB write in MDC2_Update()
3918
3919    An overflow can occur in MDC2_Update() either if called directly or
3920    through the EVP_DigestUpdate() function using MDC2. If an attacker
3921    is able to supply very large amounts of input data after a previous
3922    call to EVP_EncryptUpdate() with a partial block then a length check
3923    can overflow resulting in a heap corruption.
3924
3925    The amount of data needed is comparable to SIZE_MAX which is impractical
3926    on most platforms.
3927
3928    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
3929    [CVE-2016-6303][]
3930
3931    *Stephen Henson*
3932
3933  * Malformed SHA512 ticket DoS
3934
3935    If a server uses SHA512 for TLS session ticket HMAC it is vulnerable to a
3936    DoS attack where a malformed ticket will result in an OOB read which will
3937    ultimately crash.
3938
3939    The use of SHA512 in TLS session tickets is comparatively rare as it requires
3940    a custom server callback and ticket lookup mechanism.
3941
3942    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
3943    [CVE-2016-6302][]
3944
3945    *Stephen Henson*
3946
3947  * OOB write in BN_bn2dec()
3948
3949    The function BN_bn2dec() does not check the return value of BN_div_word().
3950    This can cause an OOB write if an application uses this function with an
3951    overly large BIGNUM. This could be a problem if an overly large certificate
3952    or CRL is printed out from an untrusted source. TLS is not affected because
3953    record limits will reject an oversized certificate before it is parsed.
3954
3955    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
3956    [CVE-2016-2182][]
3957
3958    *Stephen Henson*
3959
3960  * OOB read in TS_OBJ_print_bio()
3961
3962    The function TS_OBJ_print_bio() misuses OBJ_obj2txt(): the return value is
3963    the total length the OID text representation would use and not the amount
3964    of data written. This will result in OOB reads when large OIDs are
3965    presented.
3966
3967    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
3968    [CVE-2016-2180][]
3969
3970    *Stephen Henson*
3971
3972  * Pointer arithmetic undefined behaviour
3973
3974    Avoid some undefined pointer arithmetic
3975
3976    A common idiom in the codebase is to check limits in the following manner:
3977    "p + len > limit"
3978
3979    Where "p" points to some malloc'd data of SIZE bytes and
3980    limit == p + SIZE
3981
3982    "len" here could be from some externally supplied data (e.g. from a TLS
3983    message).
3984
3985    The rules of C pointer arithmetic are such that "p + len" is only well
3986    defined where len <= SIZE. Therefore the above idiom is actually
3987    undefined behaviour.
3988
3989    For example this could cause problems if some malloc implementation
3990    provides an address for "p" such that "p + len" actually overflows for
3991    values of len that are too big and therefore p + len < limit.
3992
3993    This issue was reported to OpenSSL by Guido Vranken
3994    [CVE-2016-2177][]
3995
3996    *Matt Caswell*
3997
3998  * Constant time flag not preserved in DSA signing
3999
4000    Operations in the DSA signing algorithm should run in constant time in
4001    order to avoid side channel attacks. A flaw in the OpenSSL DSA
4002    implementation means that a non-constant time codepath is followed for
4003    certain operations. This has been demonstrated through a cache-timing
4004    attack to be sufficient for an attacker to recover the private DSA key.
4005
4006    This issue was reported by César Pereida (Aalto University), Billy Brumley
4007    (Tampere University of Technology), and Yuval Yarom (The University of
4008    Adelaide and NICTA).
4009    [CVE-2016-2178][]
4010
4011    *César Pereida*
4012
4013  * DTLS buffered message DoS
4014
4015    In a DTLS connection where handshake messages are delivered out-of-order
4016    those messages that OpenSSL is not yet ready to process will be buffered
4017    for later use. Under certain circumstances, a flaw in the logic means that
4018    those messages do not get removed from the buffer even though the handshake
4019    has been completed. An attacker could force up to approx. 15 messages to
4020    remain in the buffer when they are no longer required. These messages will
4021    be cleared when the DTLS connection is closed. The default maximum size for
4022    a message is 100k. Therefore the attacker could force an additional 1500k
4023    to be consumed per connection. By opening many simulataneous connections an
4024    attacker could cause a DoS attack through memory exhaustion.
4025
4026    This issue was reported to OpenSSL by Quan Luo.
4027    [CVE-2016-2179][]
4028
4029    *Matt Caswell*
4030
4031  * DTLS replay protection DoS
4032
4033    A flaw in the DTLS replay attack protection mechanism means that records
4034    that arrive for future epochs update the replay protection "window" before
4035    the MAC for the record has been validated. This could be exploited by an
4036    attacker by sending a record for the next epoch (which does not have to
4037    decrypt or have a valid MAC), with a very large sequence number. This means
4038    that all subsequent legitimate packets are dropped causing a denial of
4039    service for a specific DTLS connection.
4040
4041    This issue was reported to OpenSSL by the OCAP audit team.
4042    [CVE-2016-2181][]
4043
4044    *Matt Caswell*
4045
4046  * Certificate message OOB reads
4047
4048    In OpenSSL 1.0.2 and earlier some missing message length checks can result
4049    in OOB reads of up to 2 bytes beyond an allocated buffer. There is a
4050    theoretical DoS risk but this has not been observed in practice on common
4051    platforms.
4052
4053    The messages affected are client certificate, client certificate request
4054    and server certificate. As a result the attack can only be performed
4055    against a client or a server which enables client authentication.
4056
4057    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
4058    [CVE-2016-6306][]
4059
4060    *Stephen Henson*
4061
4062 ### Changes between 1.0.2g and 1.0.2h [3 May 2016] ###
4063
4064  * Prevent padding oracle in AES-NI CBC MAC check
4065
4066    A MITM attacker can use a padding oracle attack to decrypt traffic
4067    when the connection uses an AES CBC cipher and the server support
4068    AES-NI.
4069
4070    This issue was introduced as part of the fix for Lucky 13 padding
4071    attack [CVE-2013-0169][]. The padding check was rewritten to be in
4072    constant time by making sure that always the same bytes are read and
4073    compared against either the MAC or padding bytes. But it no longer
4074    checked that there was enough data to have both the MAC and padding
4075    bytes.
4076
4077    This issue was reported by Juraj Somorovsky using TLS-Attacker.
4078    [CVE-2016-2107][]
4079
4080    *Kurt Roeckx*
4081
4082  * Fix EVP_EncodeUpdate overflow
4083
4084    An overflow can occur in the EVP_EncodeUpdate() function which is used for
4085    Base64 encoding of binary data. If an attacker is able to supply very large
4086    amounts of input data then a length check can overflow resulting in a heap
4087    corruption.
4088
4089    Internally to OpenSSL the EVP_EncodeUpdate() function is primarily used by
4090    the PEM_write_bio* family of functions. These are mainly used within the
4091    OpenSSL command line applications, so any application which processes data
4092    from an untrusted source and outputs it as a PEM file should be considered
4093    vulnerable to this issue. User applications that call these APIs directly
4094    with large amounts of untrusted data may also be vulnerable.
4095
4096    This issue was reported by Guido Vranken.
4097    [CVE-2016-2105][]
4098
4099    *Matt Caswell*
4100
4101  * Fix EVP_EncryptUpdate overflow
4102
4103    An overflow can occur in the EVP_EncryptUpdate() function. If an attacker
4104    is able to supply very large amounts of input data after a previous call to
4105    EVP_EncryptUpdate() with a partial block then a length check can overflow
4106    resulting in a heap corruption. Following an analysis of all OpenSSL
4107    internal usage of the EVP_EncryptUpdate() function all usage is one of two
4108    forms. The first form is where the EVP_EncryptUpdate() call is known to be
4109    the first called function after an EVP_EncryptInit(), and therefore that
4110    specific call must be safe. The second form is where the length passed to
4111    EVP_EncryptUpdate() can be seen from the code to be some small value and
4112    therefore there is no possibility of an overflow. Since all instances are
4113    one of these two forms, it is believed that there can be no overflows in
4114    internal code due to this problem. It should be noted that
4115    EVP_DecryptUpdate() can call EVP_EncryptUpdate() in certain code paths.
4116    Also EVP_CipherUpdate() is a synonym for EVP_EncryptUpdate(). All instances
4117    of these calls have also been analysed too and it is believed there are no
4118    instances in internal usage where an overflow could occur.
4119
4120    This issue was reported by Guido Vranken.
4121    [CVE-2016-2106][]
4122
4123    *Matt Caswell*
4124
4125  * Prevent ASN.1 BIO excessive memory allocation
4126
4127    When ASN.1 data is read from a BIO using functions such as d2i_CMS_bio()
4128    a short invalid encoding can cause allocation of large amounts of memory
4129    potentially consuming excessive resources or exhausting memory.
4130
4131    Any application parsing untrusted data through d2i BIO functions is
4132    affected. The memory based functions such as d2i_X509() are *not* affected.
4133    Since the memory based functions are used by the TLS library, TLS
4134    applications are not affected.
4135
4136    This issue was reported by Brian Carpenter.
4137    [CVE-2016-2109][]
4138
4139    *Stephen Henson*
4140
4141  * EBCDIC overread
4142
4143    ASN1 Strings that are over 1024 bytes can cause an overread in applications
4144    using the X509_NAME_oneline() function on EBCDIC systems. This could result
4145    in arbitrary stack data being returned in the buffer.
4146
4147    This issue was reported by Guido Vranken.
4148    [CVE-2016-2176][]
4149
4150    *Matt Caswell*
4151
4152  * Modify behavior of ALPN to invoke callback after SNI/servername
4153    callback, such that updates to the SSL_CTX affect ALPN.
4154
4155    *Todd Short*
4156
4157  * Remove LOW from the DEFAULT cipher list.  This removes singles DES from the
4158    default.
4159
4160    *Kurt Roeckx*
4161
4162  * Only remove the SSLv2 methods with the no-ssl2-method option. When the
4163    methods are enabled and ssl2 is disabled the methods return NULL.
4164
4165    *Kurt Roeckx*
4166
4167 ### Changes between 1.0.2f and 1.0.2g [1 Mar 2016] ###
4168
4169 * Disable weak ciphers in SSLv3 and up in default builds of OpenSSL.
4170   Builds that are not configured with "enable-weak-ssl-ciphers" will not
4171   provide any "EXPORT" or "LOW" strength ciphers.
4172
4173   *Viktor Dukhovni*
4174
4175 * Disable SSLv2 default build, default negotiation and weak ciphers.  SSLv2
4176   is by default disabled at build-time.  Builds that are not configured with
4177   "enable-ssl2" will not support SSLv2.  Even if "enable-ssl2" is used,
4178   users who want to negotiate SSLv2 via the version-flexible SSLv23_method()
4179   will need to explicitly call either of:
4180
4181       SSL_CTX_clear_options(ctx, SSL_OP_NO_SSLv2);
4182   or
4183       SSL_clear_options(ssl, SSL_OP_NO_SSLv2);
4184
4185   as appropriate.  Even if either of those is used, or the application
4186   explicitly uses the version-specific SSLv2_method() or its client and
4187   server variants, SSLv2 ciphers vulnerable to exhaustive search key
4188   recovery have been removed.  Specifically, the SSLv2 40-bit EXPORT
4189   ciphers, and SSLv2 56-bit DES are no longer available.
4190   [CVE-2016-0800][]
4191
4192    *Viktor Dukhovni*
4193
4194  * Fix a double-free in DSA code
4195
4196    A double free bug was discovered when OpenSSL parses malformed DSA private
4197    keys and could lead to a DoS attack or memory corruption for applications
4198    that receive DSA private keys from untrusted sources.  This scenario is
4199    considered rare.
4200
4201    This issue was reported to OpenSSL by Adam Langley(Google/BoringSSL) using
4202    libFuzzer.
4203    [CVE-2016-0705][]
4204
4205    *Stephen Henson*
4206
4207  * Disable SRP fake user seed to address a server memory leak.
4208
4209    Add a new method SRP_VBASE_get1_by_user that handles the seed properly.
4210
4211    SRP_VBASE_get_by_user had inconsistent memory management behaviour.
4212    In order to fix an unavoidable memory leak, SRP_VBASE_get_by_user
4213    was changed to ignore the "fake user" SRP seed, even if the seed
4214    is configured.
4215
4216    Users should use SRP_VBASE_get1_by_user instead. Note that in
4217    SRP_VBASE_get1_by_user, caller must free the returned value. Note
4218    also that even though configuring the SRP seed attempts to hide
4219    invalid usernames by continuing the handshake with fake
4220    credentials, this behaviour is not constant time and no strong
4221    guarantees are made that the handshake is indistinguishable from
4222    that of a valid user.
4223    [CVE-2016-0798][]
4224
4225    *Emilia Käsper*
4226
4227  * Fix BN_hex2bn/BN_dec2bn NULL pointer deref/heap corruption
4228
4229    In the BN_hex2bn function the number of hex digits is calculated using an
4230    int value |i|. Later |bn_expand| is called with a value of |i * 4|. For
4231    large values of |i| this can result in |bn_expand| not allocating any
4232    memory because |i * 4| is negative. This can leave the internal BIGNUM data
4233    field as NULL leading to a subsequent NULL ptr deref. For very large values
4234    of |i|, the calculation |i * 4| could be a positive value smaller than |i|.
4235    In this case memory is allocated to the internal BIGNUM data field, but it
4236    is insufficiently sized leading to heap corruption. A similar issue exists
4237    in BN_dec2bn. This could have security consequences if BN_hex2bn/BN_dec2bn
4238    is ever called by user applications with very large untrusted hex/dec data.
4239    This is anticipated to be a rare occurrence.
4240
4241    All OpenSSL internal usage of these functions use data that is not expected
4242    to be untrusted, e.g. config file data or application command line
4243    arguments. If user developed applications generate config file data based
4244    on untrusted data then it is possible that this could also lead to security
4245    consequences. This is also anticipated to be rare.
4246
4247    This issue was reported to OpenSSL by Guido Vranken.
4248    [CVE-2016-0797][]
4249
4250    *Matt Caswell*
4251
4252  * Fix memory issues in BIO_*printf functions
4253
4254    The internal |fmtstr| function used in processing a "%s" format string in
4255    the BIO_*printf functions could overflow while calculating the length of a
4256    string and cause an OOB read when printing very long strings.
4257
4258    Additionally the internal |doapr_outch| function can attempt to write to an
4259    OOB memory location (at an offset from the NULL pointer) in the event of a
4260    memory allocation failure. In 1.0.2 and below this could be caused where
4261    the size of a buffer to be allocated is greater than INT_MAX. E.g. this
4262    could be in processing a very long "%s" format string. Memory leaks can
4263    also occur.
4264
4265    The first issue may mask the second issue dependent on compiler behaviour.
4266    These problems could enable attacks where large amounts of untrusted data
4267    is passed to the BIO_*printf functions. If applications use these functions
4268    in this way then they could be vulnerable. OpenSSL itself uses these
4269    functions when printing out human-readable dumps of ASN.1 data. Therefore
4270    applications that print this data could be vulnerable if the data is from
4271    untrusted sources. OpenSSL command line applications could also be
4272    vulnerable where they print out ASN.1 data, or if untrusted data is passed
4273    as command line arguments.
4274
4275    Libssl is not considered directly vulnerable. Additionally certificates etc
4276    received via remote connections via libssl are also unlikely to be able to
4277    trigger these issues because of message size limits enforced within libssl.
4278
4279    This issue was reported to OpenSSL Guido Vranken.
4280    [CVE-2016-0799][]
4281
4282    *Matt Caswell*
4283
4284  * Side channel attack on modular exponentiation
4285
4286    A side-channel attack was found which makes use of cache-bank conflicts on
4287    the Intel Sandy-Bridge microarchitecture which could lead to the recovery
4288    of RSA keys.  The ability to exploit this issue is limited as it relies on
4289    an attacker who has control of code in a thread running on the same
4290    hyper-threaded core as the victim thread which is performing decryptions.
4291
4292    This issue was reported to OpenSSL by Yuval Yarom, The University of
4293    Adelaide and NICTA, Daniel Genkin, Technion and Tel Aviv University, and
4294    Nadia Heninger, University of Pennsylvania with more information at
4295    http://cachebleed.info.
4296    [CVE-2016-0702][]
4297
4298    *Andy Polyakov*
4299
4300  * Change the req app to generate a 2048-bit RSA/DSA key by default,
4301    if no keysize is specified with default_bits. This fixes an
4302    omission in an earlier change that changed all RSA/DSA key generation
4303    apps to use 2048 bits by default.
4304
4305    *Emilia Käsper*
4306
4307 ### Changes between 1.0.2e and 1.0.2f [28 Jan 2016] ###
4308  * DH small subgroups
4309
4310    Historically OpenSSL only ever generated DH parameters based on "safe"
4311    primes. More recently (in version 1.0.2) support was provided for
4312    generating X9.42 style parameter files such as those required for RFC 5114
4313    support. The primes used in such files may not be "safe". Where an
4314    application is using DH configured with parameters based on primes that are
4315    not "safe" then an attacker could use this fact to find a peer's private
4316    DH exponent. This attack requires that the attacker complete multiple
4317    handshakes in which the peer uses the same private DH exponent. For example
4318    this could be used to discover a TLS server's private DH exponent if it's
4319    reusing the private DH exponent or it's using a static DH ciphersuite.
4320
4321    OpenSSL provides the option SSL_OP_SINGLE_DH_USE for ephemeral DH (DHE) in
4322    TLS. It is not on by default. If the option is not set then the server
4323    reuses the same private DH exponent for the life of the server process and
4324    would be vulnerable to this attack. It is believed that many popular
4325    applications do set this option and would therefore not be at risk.
4326
4327    The fix for this issue adds an additional check where a "q" parameter is
4328    available (as is the case in X9.42 based parameters). This detects the
4329    only known attack, and is the only possible defense for static DH
4330    ciphersuites. This could have some performance impact.
4331
4332    Additionally the SSL_OP_SINGLE_DH_USE option has been switched on by
4333    default and cannot be disabled. This could have some performance impact.
4334
4335    This issue was reported to OpenSSL by Antonio Sanso (Adobe).
4336    [CVE-2016-0701][]
4337
4338    *Matt Caswell*
4339
4340  * SSLv2 doesn't block disabled ciphers
4341
4342    A malicious client can negotiate SSLv2 ciphers that have been disabled on
4343    the server and complete SSLv2 handshakes even if all SSLv2 ciphers have
4344    been disabled, provided that the SSLv2 protocol was not also disabled via
4345    SSL_OP_NO_SSLv2.
4346
4347    This issue was reported to OpenSSL on 26th December 2015 by Nimrod Aviram
4348    and Sebastian Schinzel.
4349    [CVE-2015-3197][]
4350
4351    *Viktor Dukhovni*
4352
4353 ### Changes between 1.0.2d and 1.0.2e [3 Dec 2015] ###
4354
4355  * BN_mod_exp may produce incorrect results on x86_64
4356
4357    There is a carry propagating bug in the x86_64 Montgomery squaring
4358    procedure. No EC algorithms are affected. Analysis suggests that attacks
4359    against RSA and DSA as a result of this defect would be very difficult to
4360    perform and are not believed likely. Attacks against DH are considered just
4361    feasible (although very difficult) because most of the work necessary to
4362    deduce information about a private key may be performed offline. The amount
4363    of resources required for such an attack would be very significant and
4364    likely only accessible to a limited number of attackers. An attacker would
4365    additionally need online access to an unpatched system using the target
4366    private key in a scenario with persistent DH parameters and a private
4367    key that is shared between multiple clients. For example this can occur by
4368    default in OpenSSL DHE based SSL/TLS ciphersuites.
4369
4370    This issue was reported to OpenSSL by Hanno Böck.
4371    [CVE-2015-3193][]
4372
4373    *Andy Polyakov*
4374
4375  * Certificate verify crash with missing PSS parameter
4376
4377    The signature verification routines will crash with a NULL pointer
4378    dereference if presented with an ASN.1 signature using the RSA PSS
4379    algorithm and absent mask generation function parameter. Since these
4380    routines are used to verify certificate signature algorithms this can be
4381    used to crash any certificate verification operation and exploited in a
4382    DoS attack. Any application which performs certificate verification is
4383    vulnerable including OpenSSL clients and servers which enable client
4384    authentication.
4385
4386    This issue was reported to OpenSSL by Loïc Jonas Etienne (Qnective AG).
4387    [CVE-2015-3194][]
4388
4389    *Stephen Henson*
4390
4391  * X509_ATTRIBUTE memory leak
4392
4393    When presented with a malformed X509_ATTRIBUTE structure OpenSSL will leak
4394    memory. This structure is used by the PKCS#7 and CMS routines so any
4395    application which reads PKCS#7 or CMS data from untrusted sources is
4396    affected. SSL/TLS is not affected.
4397
4398    This issue was reported to OpenSSL by Adam Langley (Google/BoringSSL) using
4399    libFuzzer.
4400    [CVE-2015-3195][]
4401
4402    *Stephen Henson*
4403
4404  * Rewrite EVP_DecodeUpdate (base64 decoding) to fix several bugs.
4405    This changes the decoding behaviour for some invalid messages,
4406    though the change is mostly in the more lenient direction, and
4407    legacy behaviour is preserved as much as possible.
4408
4409    *Emilia Käsper*
4410
4411  * In DSA_generate_parameters_ex, if the provided seed is too short,
4412    return an error
4413
4414    *Rich Salz and Ismo Puustinen <ismo.puustinen@intel.com>*
4415
4416 ### Changes between 1.0.2c and 1.0.2d [9 Jul 2015] ###
4417
4418  * Alternate chains certificate forgery
4419
4420    During certificate verification, OpenSSL will attempt to find an
4421    alternative certificate chain if the first attempt to build such a chain
4422    fails. An error in the implementation of this logic can mean that an
4423    attacker could cause certain checks on untrusted certificates to be
4424    bypassed, such as the CA flag, enabling them to use a valid leaf
4425    certificate to act as a CA and "issue" an invalid certificate.
4426
4427    This issue was reported to OpenSSL by Adam Langley/David Benjamin
4428    (Google/BoringSSL).
4429
4430    *Matt Caswell*
4431
4432 ### Changes between 1.0.2b and 1.0.2c [12 Jun 2015] ###
4433
4434  * Fix HMAC ABI incompatibility. The previous version introduced an ABI
4435    incompatibility in the handling of HMAC. The previous ABI has now been
4436    restored.
4437
4438    *Matt Caswell*
4439
4440 ### Changes between 1.0.2a and 1.0.2b [11 Jun 2015] ###
4441
4442  * Malformed ECParameters causes infinite loop
4443
4444    When processing an ECParameters structure OpenSSL enters an infinite loop
4445    if the curve specified is over a specially malformed binary polynomial
4446    field.
4447
4448    This can be used to perform denial of service against any
4449    system which processes public keys, certificate requests or
4450    certificates.  This includes TLS clients and TLS servers with
4451    client authentication enabled.
4452
4453    This issue was reported to OpenSSL by Joseph Barr-Pixton.
4454    [CVE-2015-1788][]
4455
4456    *Andy Polyakov*
4457
4458  * Exploitable out-of-bounds read in X509_cmp_time
4459
4460    X509_cmp_time does not properly check the length of the ASN1_TIME
4461    string and can read a few bytes out of bounds. In addition,
4462    X509_cmp_time accepts an arbitrary number of fractional seconds in the
4463    time string.
4464
4465    An attacker can use this to craft malformed certificates and CRLs of
4466    various sizes and potentially cause a segmentation fault, resulting in
4467    a DoS on applications that verify certificates or CRLs. TLS clients
4468    that verify CRLs are affected. TLS clients and servers with client
4469    authentication enabled may be affected if they use custom verification
4470    callbacks.
4471
4472    This issue was reported to OpenSSL by Robert Swiecki (Google), and
4473    independently by Hanno Böck.
4474    [CVE-2015-1789][]
4475
4476    *Emilia Käsper*
4477
4478  * PKCS7 crash with missing EnvelopedContent
4479
4480    The PKCS#7 parsing code does not handle missing inner EncryptedContent
4481    correctly. An attacker can craft malformed ASN.1-encoded PKCS#7 blobs
4482    with missing content and trigger a NULL pointer dereference on parsing.
4483
4484    Applications that decrypt PKCS#7 data or otherwise parse PKCS#7
4485    structures from untrusted sources are affected. OpenSSL clients and
4486    servers are not affected.
4487
4488    This issue was reported to OpenSSL by Michal Zalewski (Google).
4489    [CVE-2015-1790][]
4490
4491    *Emilia Käsper*
4492
4493  * CMS verify infinite loop with unknown hash function
4494
4495    When verifying a signedData message the CMS code can enter an infinite loop
4496    if presented with an unknown hash function OID. This can be used to perform
4497    denial of service against any system which verifies signedData messages using
4498    the CMS code.
4499    This issue was reported to OpenSSL by Johannes Bauer.
4500    [CVE-2015-1792][]
4501
4502    *Stephen Henson*
4503
4504  * Race condition handling NewSessionTicket
4505
4506    If a NewSessionTicket is received by a multi-threaded client when attempting to
4507    reuse a previous ticket then a race condition can occur potentially leading to
4508    a double free of the ticket data.
4509    [CVE-2015-1791][]
4510
4511    *Matt Caswell*
4512
4513  * Only support 256-bit or stronger elliptic curves with the
4514    'ecdh_auto' setting (server) or by default (client). Of supported
4515    curves, prefer P-256 (both).
4516
4517    *Emilia Kasper*
4518
4519 ### Changes between 1.0.2 and 1.0.2a [19 Mar 2015] ###
4520
4521  * ClientHello sigalgs DoS fix
4522
4523    If a client connects to an OpenSSL 1.0.2 server and renegotiates with an
4524    invalid signature algorithms extension a NULL pointer dereference will
4525    occur. This can be exploited in a DoS attack against the server.
4526
4527    This issue was was reported to OpenSSL by David Ramos of Stanford
4528    University.
4529    [CVE-2015-0291][]
4530
4531    *Stephen Henson and Matt Caswell*
4532
4533  * Multiblock corrupted pointer fix
4534
4535    OpenSSL 1.0.2 introduced the "multiblock" performance improvement. This
4536    feature only applies on 64 bit x86 architecture platforms that support AES
4537    NI instructions. A defect in the implementation of "multiblock" can cause
4538    OpenSSL's internal write buffer to become incorrectly set to NULL when
4539    using non-blocking IO. Typically, when the user application is using a
4540    socket BIO for writing, this will only result in a failed connection.
4541    However if some other BIO is used then it is likely that a segmentation
4542    fault will be triggered, thus enabling a potential DoS attack.
4543
4544    This issue was reported to OpenSSL by Daniel Danner and Rainer Mueller.
4545    [CVE-2015-0290][]
4546
4547    *Matt Caswell*
4548
4549  * Segmentation fault in DTLSv1_listen fix
4550
4551    The DTLSv1_listen function is intended to be stateless and processes the
4552    initial ClientHello from many peers. It is common for user code to loop
4553    over the call to DTLSv1_listen until a valid ClientHello is received with
4554    an associated cookie. A defect in the implementation of DTLSv1_listen means
4555    that state is preserved in the SSL object from one invocation to the next
4556    that can lead to a segmentation fault. Errors processing the initial
4557    ClientHello can trigger this scenario. An example of such an error could be
4558    that a DTLS1.0 only client is attempting to connect to a DTLS1.2 only
4559    server.
4560
4561    This issue was reported to OpenSSL by Per Allansson.
4562    [CVE-2015-0207][]
4563
4564    *Matt Caswell*
4565
4566  * Segmentation fault in ASN1_TYPE_cmp fix
4567
4568    The function ASN1_TYPE_cmp will crash with an invalid read if an attempt is
4569    made to compare ASN.1 boolean types. Since ASN1_TYPE_cmp is used to check
4570    certificate signature algorithm consistency this can be used to crash any
4571    certificate verification operation and exploited in a DoS attack. Any
4572    application which performs certificate verification is vulnerable including
4573    OpenSSL clients and servers which enable client authentication.
4574    [CVE-2015-0286][]
4575
4576    *Stephen Henson*
4577
4578  * Segmentation fault for invalid PSS parameters fix
4579
4580    The signature verification routines will crash with a NULL pointer
4581    dereference if presented with an ASN.1 signature using the RSA PSS
4582    algorithm and invalid parameters. Since these routines are used to verify
4583    certificate signature algorithms this can be used to crash any
4584    certificate verification operation and exploited in a DoS attack. Any
4585    application which performs certificate verification is vulnerable including
4586    OpenSSL clients and servers which enable client authentication.
4587
4588    This issue was was reported to OpenSSL by Brian Carpenter.
4589    [CVE-2015-0208][]
4590
4591    *Stephen Henson*
4592
4593  * ASN.1 structure reuse memory corruption fix
4594
4595    Reusing a structure in ASN.1 parsing may allow an attacker to cause
4596    memory corruption via an invalid write. Such reuse is and has been
4597    strongly discouraged and is believed to be rare.
4598
4599    Applications that parse structures containing CHOICE or ANY DEFINED BY
4600    components may be affected. Certificate parsing (d2i_X509 and related
4601    functions) are however not affected. OpenSSL clients and servers are
4602    not affected.
4603    [CVE-2015-0287][]
4604
4605    *Stephen Henson*
4606
4607  * PKCS7 NULL pointer dereferences fix
4608
4609    The PKCS#7 parsing code does not handle missing outer ContentInfo
4610    correctly. An attacker can craft malformed ASN.1-encoded PKCS#7 blobs with
4611    missing content and trigger a NULL pointer dereference on parsing.