EVP: Add EVP_PKEY_set_type_by_keymgmt() and use it
[openssl.git] / CHANGES.md
1 OpenSSL CHANGES
2 ===============
3
4 This is a high-level summary of the most important changes.
5 For a full list of changes, see the [git commit log][log] and
6 pick the appropriate release branch.
7
8   [log]: https://github.com/openssl/openssl/commits/
9
10
11 OpenSSL Releases
12 ----------------
13
14  - [OpenSSL 3.0](#openssl-30)
15  - [OpenSSL 1.1.1](#openssl-111)
16  - [OpenSSL 1.1.0](#openssl-110)
17  - [OpenSSL 1.0.2](#openssl-102)
18  - [OpenSSL 1.0.1](#openssl-101)
19  - [OpenSSL 1.0.0](#openssl-100)
20  - [OpenSSL 0.9.x](#openssl-09x)
21
22 OpenSSL 3.0
23 -----------
24
25 ### Changes between 1.1.1 and 3.0 [xx XXX xxxx] ###
26
27  * Added EVP_PKEY_set_type_by_keymgmt(), to initialise an EVP_PKEY to
28    contain a provider side internal key.
29
30    *Richard Levitte*
31
32  * `ASN1_verify()`, `ASN1_digest()` and `ASN1_sign()` have been deprecated.
33    They are old functions that we don't use, and that you could disable with
34    the macro `NO_ASN1_OLD`.  This goes all the way back to OpenSSL 0.9.7.
35
36    *Richard Levitte*
37
38  * The main project documents (README, NEWS, CHANGES, INSTALL, SUPPORT)
39    have been converted to Markdown with the goal to produce documents
40    which not only look pretty when viewed online in the browser, but
41    remain well readable inside a plain text editor.
42
43    To achieve this goal, a 'minimalistic' Markdown style has been applied
44    which avoids formatting elements that interfere too much with the
45    reading flow in the text file. For example, it
46
47    * avoids [ATX headings][] and uses [setext headings][] instead
48      (which works for `<h1>` and `<h2>` headings only).
49    * avoids [inline links][] and uses [reference links][] instead.
50    * avoids [fenced code blocks][] and uses [indented code blocks][] instead.
51
52      [ATX headings]:         https://github.github.com/gfm/#atx-headings
53      [setext headings]:      https://github.github.com/gfm/#setext-headings
54      [inline links]:         https://github.github.com/gfm/#inline-link
55      [reference links]:      https://github.github.com/gfm/#reference-link
56      [fenced code blocks]:   https://github.github.com/gfm/#fenced-code-blocks
57      [indented code blocks]: https://github.github.com/gfm/#indented-code-blocks
58
59    *Matthias St. Pierre*
60
61
62  * The test suite is changed to preserve results of each test recipe.
63    A new directory test-runs/ with subdirectories named like the
64    test recipes are created in the build tree for this purpose.
65
66    *Richard Levitte*
67
68  * The command line utilities ecparam and ec have been deprecated.  Instead
69    use the pkeyparam, pkey and genpkey programs.
70
71    *Paul Dale*
72
73  * All of the low level RSA functions have been deprecated including:
74
75    RSA_new_method, RSA_bits, RSA_size, RSA_security_bits,
76    RSA_get0_pss_params, RSA_get_version, RSA_get0_engine,
77    RSA_generate_key_ex, RSA_generate_multi_prime_key,
78    RSA_X931_derive_ex, RSA_X931_generate_key_ex, RSA_check_key,
79    RSA_check_key_ex, RSA_public_encrypt, RSA_private_encrypt,
80    RSA_public_decrypt, RSA_private_decrypt, RSA_set_default_method,
81    RSA_get_default_method, RSA_null_method, RSA_get_method, RSA_set_method,
82    RSA_PKCS1_OpenSSL, RSA_print_fp, RSA_print, RSA_sign, RSA_verify,
83    RSA_sign_ASN1_OCTET_STRING, RSA_verify_ASN1_OCTET_STRING,
84    RSA_blinding_on, RSA_blinding_off, RSA_setup_blinding,
85    RSA_padding_add_PKCS1_type_1, RSA_padding_check_PKCS1_type_1,
86    RSA_padding_add_PKCS1_type_2, RSA_padding_check_PKCS1_type_2,
87    PKCS1_MGF1, RSA_padding_add_PKCS1_OAEP, RSA_padding_check_PKCS1_OAEP,
88    RSA_padding_add_PKCS1_OAEP_mgf1, RSA_padding_check_PKCS1_OAEP_mgf1,
89    RSA_padding_add_SSLv23, RSA_padding_check_SSLv23,
90    RSA_padding_add_none, RSA_padding_check_none, RSA_padding_add_X931,
91    RSA_padding_check_X931, RSA_X931_hash_id, RSA_verify_PKCS1_PSS,
92    RSA_padding_add_PKCS1_PSS, RSA_verify_PKCS1_PSS_mgf1,
93    RSA_padding_add_PKCS1_PSS_mgf1, RSA_set_ex_data, RSA_get_ex_data,
94    RSA_meth_new, RSA_meth_free, RSA_meth_dup, RSA_meth_get0_name,
95    RSA_meth_set1_name, RSA_meth_get_flags, RSA_meth_set_flags,
96    RSA_meth_get0_app_data, RSA_meth_set0_app_data, RSA_meth_get_pub_enc,
97    RSA_meth_set_pub_enc, RSA_meth_get_pub_dec, RSA_meth_set_pub_dec,
98    RSA_meth_get_priv_enc, RSA_meth_set_priv_enc, RSA_meth_get_priv_dec,
99    RSA_meth_set_priv_dec, RSA_meth_get_mod_exp, RSA_meth_set_mod_exp,
100    RSA_meth_get_bn_mod_exp, RSA_meth_set_bn_mod_exp, RSA_meth_get_init,
101    RSA_meth_set_init, RSA_meth_get_finish, RSA_meth_set_finish,
102    RSA_meth_get_sign, RSA_meth_set_sign, RSA_meth_get_verify,
103    RSA_meth_set_verify, RSA_meth_get_keygen, RSA_meth_set_keygen,
104    RSA_meth_get_multi_prime_keygen and RSA_meth_set_multi_prime_keygen.
105
106    Use of these low level functions has been informally discouraged for a long
107    time.  Instead applications should use L<EVP_PKEY_encrypt_init(3)>,
108    L<EVP_PKEY_encrypt(3)>, L<EVP_PKEY_decrypt_init(3)> and
109    L<EVP_PKEY_decrypt(3)>.
110
111    *Paul Dale*
112
113  * X509 certificates signed using SHA1 are no longer allowed at security
114    level 1 and above.
115    In TLS/SSL the default security level is 1. It can be set either
116    using the cipher string with @SECLEVEL, or calling
117    SSL_CTX_set_security_level(). If the leaf certificate is signed with SHA-1,
118    a call to SSL_CTX_use_certificate() will fail if the security level is not
119    lowered first.
120    Outside TLS/SSL, the default security level is -1 (effectively 0). It can
121    be set using X509_VERIFY_PARAM_set_auth_level() or using the -auth_level
122    options of the apps.
123
124    *Kurt Roeckx*
125
126  * The command line utilities dhparam, dsa, gendsa and dsaparam have been
127    deprecated.  Instead use the pkeyparam, pkey, genpkey and pkeyparam
128    programs respectively.
129
130    *Paul Dale*
131
132  * All of the low level DH functions have been deprecated including:
133
134    DH_OpenSSL, DH_set_default_method, DH_get_default_method, DH_set_method,
135    DH_new_method, DH_bits, DH_size, DH_security_bits, DH_get_ex_new_index,
136    DH_set_ex_data, DH_get_ex_data, DH_generate_parameters_ex,
137    DH_check_params_ex, DH_check_ex, DH_check_pub_key_ex,
138    DH_check, DH_check_pub_key, DH_generate_key, DH_compute_key,
139    DH_compute_key_padded, DHparams_print_fp, DHparams_print, DH_get_nid,
140    DH_KDF_X9_42, DH_get0_engine, DH_get_length, DH_set_length, DH_meth_new,
141    DH_meth_free, DH_meth_dup, DH_meth_get0_name, DH_meth_set1_name,
142    DH_meth_get_flags, DH_meth_set_flags, DH_meth_get0_app_data,
143    DH_meth_set0_app_data, DH_meth_get_generate_key,
144    DH_meth_set_generate_key, DH_meth_get_compute_key,
145    DH_meth_set_compute_key, DH_meth_get_bn_mod_exp,
146    DH_meth_set_bn_mod_exp, DH_meth_get_init, DH_meth_set_init,
147    DH_meth_get_finish, DH_meth_set_finish, DH_meth_get_generate_params
148    and DH_meth_set_generate_params.
149
150    Use of these low level functions has been informally discouraged for a long
151    time.  Instead applications should use L<EVP_PKEY_derive_init(3)>
152    and L<EVP_PKEY_derive(3)>.
153
154    *Paul Dale*
155
156  * All of the low level DSA functions have been deprecated including:
157
158    DSA_do_sign, DSA_do_verify, DSA_OpenSSL, DSA_set_default_method,
159    DSA_get_default_method, DSA_set_method, DSA_get_method, DSA_new_method,
160    DSA_sign_setup, DSA_sign, DSA_verify, DSA_get_ex_new_index,
161    DSA_set_ex_data, DSA_get_ex_data, DSA_generate_parameters_ex,
162    DSA_generate_key, DSA_meth_new, DSA_get0_engine, DSA_meth_free,
163    DSA_meth_dup, DSA_meth_get0_name, DSA_meth_set1_name, DSA_meth_get_flags,
164    DSA_meth_set_flags, DSA_meth_get0_app_data, DSA_meth_set0_app_data,
165    DSA_meth_get_sign, DSA_meth_set_sign, DSA_meth_get_sign_setup,
166    DSA_meth_set_sign_setup, DSA_meth_get_verify, DSA_meth_set_verify,
167    DSA_meth_get_mod_exp, DSA_meth_set_mod_exp, DSA_meth_get_bn_mod_exp,
168    DSA_meth_set_bn_mod_exp, DSA_meth_get_init, DSA_meth_set_init,
169    DSA_meth_get_finish, DSA_meth_set_finish, DSA_meth_get_paramgen,
170    DSA_meth_set_paramgen, DSA_meth_get_keygen and DSA_meth_set_keygen.
171
172    Use of these low level functions has been informally discouraged for a long
173    time.  Instead applications should use L<EVP_DigestSignInit_ex(3)>,
174    L<EVP_DigestSignUpdate(3)> and L<EVP_DigestSignFinal(3)>.
175
176    *Paul Dale*
177
178  * Reworked the treatment of EC EVP_PKEYs with the SM2 curve to
179    automatically become EVP_PKEY_SM2 rather than EVP_PKEY_EC.
180    This means that applications don't have to look at the curve NID and
181    `EVP_PKEY_set_alias_type(pkey, EVP_PKEY_SM2)` to get SM2 computations.
182    However, they still can, that EVP_PKEY_set_alias_type() call acts as
183    a no-op when the EVP_PKEY is already of the given type.
184
185    Parameter and key generation is also reworked to make it possible
186    to generate EVP_PKEY_SM2 parameters and keys without having to go
187    through EVP_PKEY_EC generation and then change the EVP_PKEY type.
188    However, code that does the latter will still work as before.
189
190    *Richard Levitte*
191
192  * Deprecated low level ECDH and ECDSA functions.  These include:
193
194    ECDH_compute_key, ECDSA_do_sign, ECDSA_do_sign_ex, ECDSA_do_verify,
195    ECDSA_sign_setup, ECDSA_sign, ECDSA_sign_ex, ECDSA_verify and
196    ECDSA_size.
197
198    Use of these low level functions has been informally discouraged for a long
199    time.  Instead applications should use the EVP_PKEY_derive(3),
200    EVP_DigestSign(3) and EVP_DigestVerify(3) functions.
201
202    *Paul Dale*
203
204  * Deprecated the EC_KEY_METHOD functions.  These include:
205
206    EC_KEY_METHOD_new, EC_KEY_METHOD_free, EC_KEY_METHOD_set_init,
207    EC_KEY_METHOD_set_keygen, EC_KEY_METHOD_set_compute_key,
208    EC_KEY_METHOD_set_sign, EC_KEY_METHOD_set_verify,
209    EC_KEY_METHOD_get_init, EC_KEY_METHOD_get_keygen,
210    EC_KEY_METHOD_get_compute_key, EC_KEY_METHOD_get_sign and
211    EC_KEY_METHOD_get_verify.
212
213    Instead applications and extension writers should use the OSSL_PROVIDER APIs.
214
215    *Paul Dale*
216
217  * Deprecated EVP_PKEY_decrypt_old(), please use EVP_PKEY_decrypt_init()
218    and EVP_PKEY_decrypt() instead.
219    Deprecated EVP_PKEY_encrypt_old(), please use EVP_PKEY_encrypt_init()
220    and EVP_PKEY_encrypt() instead.
221
222    *Richard Levitte*
223
224  * Enhanced the documentation of EVP_PKEY_size(), EVP_PKEY_bits()
225    and EVP_PKEY_security_bits().  Especially EVP_PKEY_size() needed
226    a new formulation to include all the things it can be used for,
227    as well as words of caution.
228
229    *Richard Levitte*
230
231  * The SSL_CTX_set_tlsext_ticket_key_cb(3) function has been deprecated.
232    Instead used the new SSL_CTX_set_tlsext_ticket_key_evp_cb(3) function.
233
234    *Paul Dale*
235
236  * All of the low level HMAC functions have been deprecated including:
237
238    HMAC, HMAC_size, HMAC_CTX_new, HMAC_CTX_reset, HMAC_CTX_free,
239    HMAC_Init_ex, HMAC_Update, HMAC_Final, HMAC_CTX_copy, HMAC_CTX_set_flags
240    and HMAC_CTX_get_md.
241
242    Use of these low level functions has been informally discouraged for a long
243    time.  Instead applications should use L<EVP_MAC_CTX_new(3)>,
244    L<EVP_MAC_CTX_free(3)>, L<EVP_MAC_init(3)>, L<EVP_MAC_update(3)>
245    and L<EVP_MAC_final(3)>.
246
247    *Paul Dale*
248
249  * Over two thousand fixes were made to the documentation, including:
250    - Common options (such as -rand/-writerand, TLS version control, etc)
251      were refactored and point to newly-enhanced descriptions in openssl.pod.
252    - Added style conformance for all options (with help from Richard Levitte),
253      documented all reported missing options, added a CI build to check
254      that all options are documented and that no unimplemented options
255      are documented.
256    - Documented some internals, such as all use of environment variables.
257    - Addressed all internal broken L<> references.
258
259    *Rich Salz*
260
261  * All of the low level CMAC functions have been deprecated including:
262
263    CMAC_CTX_new, CMAC_CTX_cleanup, CMAC_CTX_free, CMAC_CTX_get0_cipher_ctx,
264    CMAC_CTX_copy, CMAC_Init, CMAC_Update, CMAC_Final and CMAC_resume.
265
266    Use of these low level functions has been informally discouraged for a long
267    time.  Instead applications should use L<EVP_MAC_CTX_new(3)>,
268    L<EVP_MAC_CTX_free(3)>, L<EVP_MAC_init(3)>, L<EVP_MAC_update(3)>
269    and L<EVP_MAC_final(3)>.
270
271    *Paul Dale*
272
273  * All of the low level MD2, MD4, MD5, MDC2, RIPEMD160, SHA1, SHA224, SHA256,
274    SHA384, SHA512 and Whirlpool digest functions have been deprecated.
275    These include:
276
277    MD2, MD2_options, MD2_Init, MD2_Update, MD2_Final, MD4, MD4_Init,
278    MD4_Update, MD4_Final, MD4_Transform, MD5, MD5_Init, MD5_Update,
279    MD5_Final, MD5_Transform, MDC2, MDC2_Init, MDC2_Update, MDC2_Final,
280    RIPEMD160, RIPEMD160_Init, RIPEMD160_Update, RIPEMD160_Final,
281    RIPEMD160_Transform, SHA1_Init, SHA1_Update, SHA1_Final, SHA1_Transform,
282    SHA224_Init, SHA224_Update, SHA224_Final, SHA224_Transform, SHA256_Init,
283    SHA256_Update, SHA256_Final, SHA256_Transform, SHA384, SHA384_Init,
284    SHA384_Update, SHA384_Final, SHA512, SHA512_Init, SHA512_Update,
285    SHA512_Final, SHA512_Transform, WHIRLPOOL, WHIRLPOOL_Init,
286    WHIRLPOOL_Update, WHIRLPOOL_BitUpdate and WHIRLPOOL_Final.
287
288    Use of these low level functions has been informally discouraged
289    for a long time.  Applications should use the EVP_DigestInit_ex(3),
290    EVP_DigestUpdate(3) and EVP_DigestFinal_ex(3) functions instead.
291
292    *Paul Dale*
293
294  * Corrected the documentation of the return values from the EVP_DigestSign*
295    set of functions.  The documentation mentioned negative values for some
296    errors, but this was never the case, so the mention of negative values
297    was removed.
298
299    Code that followed the documentation and thereby check with something
300    like `EVP_DigestSignInit(...) <= 0` will continue to work undisturbed.
301
302    *Richard Levitte*
303
304  * All of the low level cipher functions have been deprecated including:
305
306    AES_options, AES_set_encrypt_key, AES_set_decrypt_key, AES_encrypt,
307    AES_decrypt, AES_ecb_encrypt, AES_cbc_encrypt, AES_cfb128_encrypt,
308    AES_cfb1_encrypt, AES_cfb8_encrypt, AES_ofb128_encrypt,
309    AES_wrap_key, AES_unwrap_key, BF_set_key, BF_encrypt, BF_decrypt,
310    BF_ecb_encrypt, BF_cbc_encrypt, BF_cfb64_encrypt, BF_ofb64_encrypt,
311    BF_options, Camellia_set_key, Camellia_encrypt, Camellia_decrypt,
312    Camellia_ecb_encrypt, Camellia_cbc_encrypt, Camellia_cfb128_encrypt,
313    Camellia_cfb1_encrypt, Camellia_cfb8_encrypt, Camellia_ofb128_encrypt,
314    Camellia_ctr128_encrypt, CAST_set_key, CAST_encrypt, CAST_decrypt,
315    CAST_ecb_encrypt, CAST_cbc_encrypt, CAST_cfb64_encrypt,
316    CAST_ofb64_encrypt, DES_options, DES_encrypt1, DES_encrypt2,
317    DES_encrypt3, DES_decrypt3, DES_cbc_encrypt, DES_ncbc_encrypt,
318    DES_pcbc_encrypt, DES_xcbc_encrypt, DES_cfb_encrypt, DES_cfb64_encrypt,
319    DES_ecb_encrypt, DES_ofb_encrypt, DES_ofb64_encrypt, DES_random_key,
320    DES_set_odd_parity, DES_check_key_parity, DES_is_weak_key, DES_set_key,
321    DES_key_sched, DES_set_key_checked, DES_set_key_unchecked,
322    DES_string_to_key, DES_string_to_2keys, DES_fixup_key_parity,
323    DES_ecb2_encrypt, DES_ede2_cbc_encrypt, DES_ede2_cfb64_encrypt,
324    DES_ede2_ofb64_encrypt, DES_ecb3_encrypt, DES_ede3_cbc_encrypt,
325    DES_ede3_cfb64_encrypt, DES_ede3_cfb_encrypt, DES_ede3_ofb64_encrypt,
326    DES_cbc_cksum, DES_quad_cksum, IDEA_encrypt, IDEA_options,
327    IDEA_ecb_encrypt, IDEA_set_encrypt_key, IDEA_set_decrypt_key,
328    IDEA_cbc_encrypt, IDEA_cfb64_encrypt, IDEA_ofb64_encrypt, RC2_set_key,
329    RC2_encrypt, RC2_decrypt, RC2_ecb_encrypt, RC2_cbc_encrypt,
330    RC2_cfb64_encrypt, RC2_ofb64_encrypt, RC4, RC4_options, RC4_set_key,
331    RC5_32_set_key, RC5_32_encrypt, RC5_32_decrypt, RC5_32_ecb_encrypt,
332    RC5_32_cbc_encrypt, RC5_32_cfb64_encrypt, RC5_32_ofb64_encrypt,
333    SEED_set_key, SEED_encrypt, SEED_decrypt, SEED_ecb_encrypt,
334    SEED_cbc_encrypt, SEED_cfb128_encrypt and SEED_ofb128_encrypt.
335
336    Use of these low level functions has been informally discouraged for
337    a long time. Applications should use the high level EVP APIs, e.g.
338    EVP_EncryptInit_ex, EVP_EncryptUpdate, EVP_EncryptFinal_ex, and the
339    equivalently named decrypt functions instead.
340
341    *Matt Caswell and Paul Dale*
342
343  * Removed include/openssl/opensslconf.h.in and replaced it with
344    include/openssl/configuration.h.in, which differs in not including
345    <openssl/macros.h>.  A short header include/openssl/opensslconf.h
346    was added to include both.
347
348    This allows internal hacks where one might need to modify the set
349    of configured macros, for example this if deprecated symbols are
350    still supposed to be available internally:
351
352        #include <openssl/configuration.h>
353
354        #undef OPENSSL_NO_DEPRECATED
355        #define OPENSSL_SUPPRESS_DEPRECATED
356
357        #include <openssl/macros.h>
358
359    This should not be used by applications that use the exported
360    symbols, as that will lead to linking errors.
361
362    *Richard Levitte*
363
364  * Fixed an overflow bug in the x64_64 Montgomery squaring procedure
365    used in exponentiation with 512-bit moduli. No EC algorithms are
366    affected. Analysis suggests that attacks against 2-prime RSA1024,
367    3-prime RSA1536, and DSA1024 as a result of this defect would be very
368    difficult to perform and are not believed likely. Attacks against DH512
369    are considered just feasible. However, for an attack the target would
370    have to re-use the DH512 private key, which is not recommended anyway.
371    Also applications directly using the low level API BN_mod_exp may be
372    affected if they use BN_FLG_CONSTTIME.
373    [CVE-2019-1551][]
374
375    *Andy Polyakov*
376
377  * Most memory-debug features have been deprecated, and the functionality
378    replaced with no-ops.
379
380    *Rich Salz*
381
382  * Introduced a new method type and API, OSSL_SERIALIZER, to
383    represent generic serializers.  An implementation is expected to
384    be able to serialize an object associated with a given name (such
385    as an algorithm name for an asymmetric key) into forms given by
386    implementation properties.
387
388    Serializers are primarily used from inside libcrypto, through
389    calls to functions like EVP_PKEY_print_private(),
390    PEM_write_bio_PrivateKey() and similar.
391
392    Serializers are specified in such a way that they can be made to
393    directly handle the provider side portion of an object, if this
394    provider side part comes from the same provider as the serializer
395    itself, but can also be made to handle objects in parametrized
396    form (as an OSSL_PARAM array of data).  This allows a provider to
397    offer generic serializers as a service for any other provider.
398
399    *Richard Levitte*
400
401  * Added a .pragma directive to the syntax of configuration files, to
402    allow varying behavior in a supported and predictable manner.
403    Currently added pragma:
404
405            .pragma dollarid:on
406
407    This allows dollar signs to be a keyword character unless it's
408    followed by a opening brace or parenthesis.  This is useful for
409    platforms where dollar signs are commonly used in names, such as
410    volume names and system directory names on VMS.
411
412    *Richard Levitte*
413
414  * Added functionality to create an EVP_PKEY from user data.  This
415    is effectively the same as creating a RSA, DH or DSA object and
416    then assigning them to an EVP_PKEY, but directly using algorithm
417    agnostic EVP functions.  A benefit is that this should be future
418    proof for public key algorithms to come.
419
420    *Richard Levitte*
421
422  * Change the interpretation of the '--api' configuration option to
423    mean that this is a desired API compatibility level with no
424    further meaning.  The previous interpretation, that this would
425    also mean to remove all deprecated symbols up to and including
426    the given version, no requires that 'no-deprecated' is also used
427    in the configuration.
428
429    When building applications, the desired API compatibility level
430    can be set with the OPENSSL_API_COMPAT macro like before.  For
431    API compatibility version below 3.0, the old style numerical
432    value is valid as before, such as -DOPENSSL_API_COMPAT=0x10100000L.
433    For version 3.0 and on, the value is expected to be the decimal
434    value calculated from the major and minor version like this:
435
436            MAJOR * 10000 + MINOR * 100
437
438    Examples:
439
440            -DOPENSSL_API_COMPAT=30000             For 3.0
441            -DOPENSSL_API_COMPAT=30200             For 3.2
442
443    To hide declarations that are deprecated up to and including the
444    given API compatibility level, -DOPENSSL_NO_DEPRECATED must be
445    given when building the application as well.
446
447    *Richard Levitte*
448
449  * Added the X509_LOOKUP_METHOD called X509_LOOKUP_store, to allow
450    access to certificate and CRL stores via URIs and OSSL_STORE
451    loaders.
452
453    This adds the following functions:
454
455    - X509_LOOKUP_store()
456    - X509_STORE_load_file()
457    - X509_STORE_load_path()
458    - X509_STORE_load_store()
459    - SSL_add_store_cert_subjects_to_stack()
460    - SSL_CTX_set_default_verify_store()
461    - SSL_CTX_load_verify_file()
462    - SSL_CTX_load_verify_dir()
463    - SSL_CTX_load_verify_store()
464
465    Also, the following functions are now deprecated:
466
467    - X509_STORE_load_locations() (use X509_STORE_load_file(),
468      X509_STORE_load_path() or X509_STORE_load_store() instead)
469    - SSL_CTX_load_verify_locations() (use SSL_CTX_load_verify_file(),
470      SSL_CTX_load_verify_dir() or SSL_CTX_load_verify_store() instead)
471
472    *Richard Levitte*
473
474  * Added a new method to gather entropy on VMS, based on SYS$GET_ENTROPY.
475    The presence of this system service is determined at run-time.
476
477    *Richard Levitte*
478
479  * Added functionality to create an EVP_PKEY context based on data
480    for methods from providers.  This takes an algorithm name and a
481    property query string and simply stores them, with the intent
482    that any operation that uses this context will use those strings
483    to fetch the needed methods implicitly, thereby making the port
484    of application written for pre-3.0 OpenSSL easier.
485
486    *Richard Levitte*
487
488  * The undocumented function NCONF_WIN32() has been deprecated; for
489    conversion details see the HISTORY section of doc/man5/config.pod
490
491    *Rich Salz*
492
493  * Introduced the new functions EVP_DigestSignInit_ex() and
494    EVP_DigestVerifyInit_ex(). The macros EVP_DigestSignUpdate() and
495    EVP_DigestVerifyUpdate() have been converted to functions. See the man
496    pages for further details.
497
498    *Matt Caswell*
499
500  * Over two thousand fixes were made to the documentation, including:
501    adding missing command flags, better style conformance, documentation
502    of internals, etc.
503
504    *Rich Salz, Richard Levitte*
505
506  * s390x assembly pack: add hardware-support for P-256, P-384, P-521,
507    X25519, X448, Ed25519 and Ed448.
508
509    *Patrick Steuer*
510
511  * Print all values for a PKCS#12 attribute with 'openssl pkcs12', not just
512    the first value.
513
514    *Jon Spillett*
515
516  * Deprecated the public definition of ERR_STATE as well as the function
517    ERR_get_state().  This is done in preparation of making ERR_STATE an
518    opaque type.
519
520    *Richard Levitte*
521
522  * Added ERR functionality to give callers access to the stored function
523    names that have replaced the older function code based functions.
524
525    New functions are ERR_get_error_func(), ERR_peek_error_func(),
526    ERR_peek_last_error_func(), ERR_get_error_data(), ERR_peek_error_data(),
527    ERR_peek_last_error_data(), ERR_get_error_all(), ERR_peek_error_all()
528    and ERR_peek_last_error_all().
529
530    These functions have become deprecated: ERR_get_error_line_data(),
531    ERR_peek_error_line_data(), ERR_peek_last_error_line_data() and
532    ERR_func_error_string().
533
534    *Richard Levitte*
535
536  * Extended testing to be verbose for failing tests only.  The make variables
537    VERBOSE_FAILURE or VF can be used to enable this:
538
539            $ make VF=1 test                           # Unix
540            $ mms /macro=(VF=1) test                   ! OpenVMS
541            $ nmake VF=1 test                          # Windows
542
543
544    *Richard Levitte*
545
546  * For built-in EC curves, ensure an EC_GROUP built from the curve name is
547    used even when parsing explicit parameters, when loading a serialized key
548    or calling `EC_GROUP_new_from_ecpkparameters()`/
549    `EC_GROUP_new_from_ecparameters()`.
550    This prevents bypass of security hardening and performance gains,
551    especially for curves with specialized EC_METHODs.
552    By default, if a key encoded with explicit parameters is loaded and later
553    serialized, the output is still encoded with explicit parameters, even if
554    internally a "named" EC_GROUP is used for computation.
555
556    *Nicola Tuveri*
557
558  * Compute ECC cofactors if not provided during EC_GROUP construction. Before
559    this change, EC_GROUP_set_generator would accept order and/or cofactor as
560    NULL. After this change, only the cofactor parameter can be NULL. It also
561    does some minimal sanity checks on the passed order.
562    [CVE-2019-1547][]
563
564    *Billy Bob Brumley*
565
566  * Fixed a padding oracle in PKCS7_dataDecode and CMS_decrypt_set1_pkey.
567    An attack is simple, if the first CMS_recipientInfo is valid but the
568    second CMS_recipientInfo is chosen ciphertext. If the second
569    recipientInfo decodes to PKCS #1 v1.5 form plaintext, the correct
570    encryption key will be replaced by garbage, and the message cannot be
571    decoded, but if the RSA decryption fails, the correct encryption key is
572    used and the recipient will not notice the attack.
573    As a work around for this potential attack the length of the decrypted
574    key must be equal to the cipher default key length, in case the
575    certifiate is not given and all recipientInfo are tried out.
576    The old behaviour can be re-enabled in the CMS code by setting the
577    CMS_DEBUG_DECRYPT flag.
578
579    *Bernd Edlinger*
580
581  * Early start up entropy quality from the DEVRANDOM seed source has been
582    improved for older Linux systems.  The RAND subsystem will wait for
583    /dev/random to be producing output before seeding from /dev/urandom.
584    The seeded state is stored for future library initialisations using
585    a system global shared memory segment.  The shared memory identifier
586    can be configured by defining OPENSSL_RAND_SEED_DEVRANDOM_SHM_ID to
587    the desired value.  The default identifier is 114.
588
589    *Paul Dale*
590
591  * Revised BN_generate_prime_ex to not avoid factors 2..17863 in p-1
592    when primes for RSA keys are computed.
593    Since we previously always generated primes == 2 (mod 3) for RSA keys,
594    the 2-prime and 3-prime RSA modules were easy to distinguish, since
595    N = p*q = 1 (mod 3), but N = p*q*r = 2 (mod 3). Therefore fingerprinting
596    2-prime vs. 3-prime RSA keys was possible by computing N mod 3.
597    This avoids possible fingerprinting of newly generated RSA modules.
598
599    *Bernd Edlinger*
600
601  * Correct the extended master secret constant on EBCDIC systems. Without this
602    fix TLS connections between an EBCDIC system and a non-EBCDIC system that
603    negotiate EMS will fail. Unfortunately this also means that TLS connections
604    between EBCDIC systems with this fix, and EBCDIC systems without this
605    fix will fail if they negotiate EMS.
606
607    *Matt Caswell*
608
609  * Changed the library initialisation so that the config file is now loaded
610    by default. This was already the case for libssl. It now occurs for both
611    libcrypto and libssl. Use the OPENSSL_INIT_NO_LOAD_CONFIG option to
612    OPENSSL_init_crypto() to suppress automatic loading of a config file.
613
614    *Matt Caswell*
615
616  * Introduced new error raising macros, ERR_raise() and ERR_raise_data(),
617    where the former acts as a replacement for ERR_put_error(), and the
618    latter replaces the combination ERR_put_error()+ERR_add_error_data().
619    ERR_raise_data() adds more flexibility by taking a format string and
620    an arbitrary number of arguments following it, to be processed with
621    BIO_snprintf().
622
623    *Richard Levitte*
624
625  * Introduced a new function, OSSL_PROVIDER_available(), which can be used
626    to check if a named provider is loaded and available.  When called, it
627    will also activate all fallback providers if such are still present.
628
629    *Richard Levitte*
630
631  * Enforce a minimum DH modulus size of 512 bits.
632
633    *Bernd Edlinger*
634
635  * Changed DH parameters to generate the order q subgroup instead of 2q.
636    Previously generated DH parameters are still accepted by DH_check
637    but DH_generate_key works around that by clearing bit 0 of the
638    private key for those. This avoids leaking bit 0 of the private key.
639
640    *Bernd Edlinger*
641
642  * Significantly reduce secure memory usage by the randomness pools.
643
644    *Paul Dale*
645
646  * {CRYPTO,OPENSSL}_mem_debug_{push,pop} are now no-ops and have been
647    deprecated.
648
649    *Rich Salz*
650
651  * A new type, EVP_KEYEXCH, has been introduced to represent key exchange
652    algorithms. An implementation of a key exchange algorithm can be obtained
653    by using the function EVP_KEYEXCH_fetch(). An EVP_KEYEXCH algorithm can be
654    used in a call to EVP_PKEY_derive_init_ex() which works in a similar way to
655    the older EVP_PKEY_derive_init() function. See the man pages for the new
656    functions for further details.
657
658    *Matt Caswell*
659
660  * The EVP_PKEY_CTX_set_dh_pad() macro has now been converted to a function.
661
662    *Matt Caswell*
663
664  * Removed the function names from error messages and deprecated the
665    xxx_F_xxx define's.
666
667  * Removed NextStep support and the macro OPENSSL_UNISTD
668
669    *Rich Salz*
670
671  * Removed DES_check_key.  Also removed OPENSSL_IMPLEMENT_GLOBAL,
672    OPENSSL_GLOBAL_REF, OPENSSL_DECLARE_GLOBAL.
673    Also removed "export var as function" capability; we do not export
674    variables, only functions.
675
676    *Rich Salz*
677
678  * RC5_32_set_key has been changed to return an int type, with 0 indicating
679    an error and 1 indicating success. In previous versions of OpenSSL this
680    was a void type. If a key was set longer than the maximum possible this
681    would crash.
682
683    *Matt Caswell*
684
685  * Support SM2 signing and verification schemes with X509 certificate.
686
687    *Paul Yang*
688
689  * Use SHA256 as the default digest for TS query in the ts app.
690
691    *Tomas Mraz*
692
693  * Change PBKDF2 to conform to SP800-132 instead of the older PKCS5 RFC2898.
694    This checks that the salt length is at least 128 bits, the derived key
695    length is at least 112 bits, and that the iteration count is at least 1000.
696    For backwards compatibility these checks are disabled by default in the
697    default provider, but are enabled by default in the fips provider.
698    To enable or disable these checks use the control
699    EVP_KDF_CTRL_SET_PBKDF2_PKCS5_MODE.
700
701    *Shane Lontis*
702
703  * Default cipher lists/suites are now available via a function, the
704    #defines are deprecated.
705
706    *Todd Short*
707
708  * Add target VC-WIN32-UWP, VC-WIN64A-UWP, VC-WIN32-ARM-UWP and
709    VC-WIN64-ARM-UWP in Windows OneCore target for making building libraries
710    for Windows Store apps easier. Also, the "no-uplink" option has been added.
711
712    *Kenji Mouri*
713
714  * Join the directories crypto/x509 and crypto/x509v3
715
716    *Richard Levitte*
717
718  * Change the default RSA, DSA and DH size to 2048 bit instead of 1024.
719    This changes the size when using the genpkey app when no size is given. It
720    fixes an omission in earlier changes that changed all RSA, DSA and DH
721    generation apps to use 2048 bits by default.
722
723    *Kurt Roeckx*
724
725  * Added command 'openssl kdf' that uses the EVP_KDF API.
726
727    *Shane Lontis*
728
729  * Added command 'openssl mac' that uses the EVP_MAC API.
730
731    *Shane Lontis*
732
733  * Added OPENSSL_info() to get diverse built-in OpenSSL data, such
734    as default directories.  Also added the command 'openssl info'
735    for scripting purposes.
736
737    *Richard Levitte*
738
739  * The functions AES_ige_encrypt() and AES_bi_ige_encrypt() have been
740    deprecated. These undocumented functions were never integrated into the EVP
741    layer and implement the AES Infinite Garble Extension (IGE) mode and AES
742    Bi-directional IGE mode. These modes were never formally standardised and
743    usage of these functions is believed to be very small. In particular
744    AES_bi_ige_encrypt() has a known bug. It accepts 2 AES keys, but only one
745    is ever used. The security implications are believed to be minimal, but
746    this issue was never fixed for backwards compatibility reasons. New code
747    should not use these modes.
748
749    *Matt Caswell*
750
751  * Add prediction resistance to the DRBG reseeding process.
752
753    *Paul Dale*
754
755  * Limit the number of blocks in a data unit for AES-XTS to 2^20 as
756    mandated by IEEE Std 1619-2018.
757
758    *Paul Dale*
759
760  * Added newline escaping functionality to a filename when using openssl dgst.
761    This output format is to replicate the output format found in the '*sum'
762    checksum programs. This aims to preserve backward compatibility.
763
764    *Matt Eaton, Richard Levitte, and Paul Dale*
765
766  * Removed the heartbeat message in DTLS feature, as it has very
767    little usage and doesn't seem to fulfill a valuable purpose.
768    The configuration option is now deprecated.
769
770    *Richard Levitte*
771
772  * Changed the output of 'openssl {digestname} < file' to display the
773    digest name in its output.
774
775    *Richard Levitte*
776
777  * Added a new generic trace API which provides support for enabling
778    instrumentation through trace output. This feature is mainly intended
779    as an aid for developers and is disabled by default. To utilize it,
780    OpenSSL needs to be configured with the `enable-trace` option.
781
782    If the tracing API is enabled, the application can activate trace output
783    by registering BIOs as trace channels for a number of tracing and debugging
784    categories.
785
786    The 'openssl' application has been expanded to enable any of the types
787    available via environment variables defined by the user, and serves as
788    one possible example on how to use this functionality.
789
790    *Richard Levitte & Matthias St. Pierre*
791
792  * Added build tests for C++.  These are generated files that only do one
793    thing, to include one public OpenSSL head file each.  This tests that
794    the public header files can be usefully included in a C++ application.
795
796    This test isn't enabled by default.  It can be enabled with the option
797    'enable-buildtest-c++'.
798
799    *Richard Levitte*
800
801  * Add Single Step KDF (EVP_KDF_SS) to EVP_KDF.
802
803    *Shane Lontis*
804
805  * Add KMAC to EVP_MAC.
806
807    *Shane Lontis*
808
809  * Added property based algorithm implementation selection framework to
810    the core.
811
812    *Paul Dale*
813
814  * Added SCA hardening for modular field inversion in EC_GROUP through
815    a new dedicated field_inv() pointer in EC_METHOD.
816    This also addresses a leakage affecting conversions from projective
817    to affine coordinates.
818
819    *Billy Bob Brumley, Nicola Tuveri*
820
821  * Added EVP_KDF, an EVP layer KDF API, to simplify adding KDF and PRF
822    implementations.  This includes an EVP_PKEY to EVP_KDF bridge for
823    those algorithms that were already supported through the EVP_PKEY API
824    (scrypt, TLS1 PRF and HKDF).  The low-level KDF functions for PBKDF2
825    and scrypt are now wrappers that call EVP_KDF.
826
827    *David Makepeace*
828
829  * Build devcrypto engine as a dynamic engine.
830
831    *Eneas U de Queiroz*
832
833  * Add keyed BLAKE2 to EVP_MAC.
834
835    *Antoine Salon*
836
837  * Fix a bug in the computation of the endpoint-pair shared secret used
838    by DTLS over SCTP. This breaks interoperability with older versions
839    of OpenSSL like OpenSSL 1.1.0 and OpenSSL 1.0.2. There is a runtime
840    switch SSL_MODE_DTLS_SCTP_LABEL_LENGTH_BUG (off by default) enabling
841    interoperability with such broken implementations. However, enabling
842    this switch breaks interoperability with correct implementations.
843
844  * Fix a use after free bug in d2i_X509_PUBKEY when overwriting a
845    re-used X509_PUBKEY object if the second PUBKEY is malformed.
846
847    *Bernd Edlinger*
848
849  * Move strictness check from EVP_PKEY_asn1_new() to EVP_PKEY_asn1_add0().
850
851    *Richard Levitte*
852
853  * Change the license to the Apache License v2.0.
854
855    *Richard Levitte*
856
857  * Switch to a new version scheme using three numbers MAJOR.MINOR.PATCH.
858
859    - Major releases (indicated by incrementing the MAJOR release number)
860      may introduce incompatible API/ABI changes.
861    - Minor releases (indicated by incrementing the MINOR release number)
862      may introduce new features but retain API/ABI compatibility.
863    - Patch releases (indicated by incrementing the PATCH number)
864      are intended for bug fixes and other improvements of existing
865      features only (like improving performance or adding documentation)
866      and retain API/ABI compatibility.
867
868    *Richard Levitte*
869
870  * Add support for RFC5297 SIV mode (siv128), including AES-SIV.
871
872    *Todd Short*
873
874  * Remove the 'dist' target and add a tarball building script.  The
875    'dist' target has fallen out of use, and it shouldn't be
876    necessary to configure just to create a source distribution.
877
878    *Richard Levitte*
879
880  * Recreate the OS390-Unix config target.  It no longer relies on a
881    special script like it did for OpenSSL pre-1.1.0.
882
883    *Richard Levitte*
884
885  * Instead of having the source directories listed in Configure, add
886    a 'build.info' keyword SUBDIRS to indicate what sub-directories to
887    look into.
888
889    *Richard Levitte*
890
891  * Add GMAC to EVP_MAC.
892
893    *Paul Dale*
894
895  * Ported the HMAC, CMAC and SipHash EVP_PKEY_METHODs to EVP_MAC.
896
897    *Richard Levitte*
898
899  * Added EVP_MAC, an EVP layer MAC API, to simplify adding MAC
900    implementations.  This includes a generic EVP_PKEY to EVP_MAC bridge,
901    to facilitate the continued use of MACs through raw private keys in
902    functionality such as EVP_DigestSign* and EVP_DigestVerify*.
903
904    *Richard Levitte*
905
906  * Deprecate ECDH_KDF_X9_62() and mark its replacement as internal. Users
907    should use the EVP interface instead (EVP_PKEY_CTX_set_ecdh_kdf_type).
908
909    *Antoine Salon*
910
911  * Added EVP_PKEY_ECDH_KDF_X9_63 and ecdh_KDF_X9_63() as replacements for
912    the EVP_PKEY_ECDH_KDF_X9_62 KDF type and ECDH_KDF_X9_62(). The old names
913    are retained for backwards compatibility.
914
915    *Antoine Salon*
916
917  * AES-XTS mode now enforces that its two keys are different to mitigate
918    the attacked described in "Efficient Instantiations of Tweakable
919    Blockciphers and Refinements to Modes OCB and PMAC" by Phillip Rogaway.
920    Details of this attack can be obtained from:
921    http://web.cs.ucdavis.edu/%7Erogaway/papers/offsets.pdf
922
923    *Paul Dale*
924
925  * Rename the object files, i.e. give them other names than in previous
926    versions.  Their names now include the name of the final product, as
927    well as its type mnemonic (bin, lib, shlib).
928
929    *Richard Levitte*
930
931  * Added new option for 'openssl list', '-objects', which will display the
932    list of built in objects, i.e. OIDs with names.
933
934    *Richard Levitte*
935
936  * Added support for Linux Kernel TLS data-path. The Linux Kernel data-path
937    improves application performance by removing data copies and providing
938    applications with zero-copy system calls such as sendfile and splice.
939
940    *Boris Pismenny*
941
942
943 OpenSSL 1.1.1
944 -------------
945
946 ### Changes between 1.1.1e and 1.1.1f [xx XXX xxxx] ###
947
948
949 ### Changes between 1.1.1d and 1.1.1e [17 Mar 2020] ###
950
951  * Properly detect EOF while reading in libssl. Previously if we hit an EOF
952    while reading in libssl then we would report an error back to the
953    application (SSL_ERROR_SYSCALL) but errno would be 0. We now add
954    an error to the stack (which means we instead return SSL_ERROR_SSL) and
955    therefore give a hint as to what went wrong.
956
957    *Matt Caswell*
958
959  * Check that ed25519 and ed448 are allowed by the security level. Previously
960    signature algorithms not using an MD were not being checked that they were
961    allowed by the security level.
962
963    *Kurt Roeckx*
964
965  * Fixed SSL_get_servername() behaviour. The behaviour of SSL_get_servername()
966    was not quite right. The behaviour was not consistent between resumption
967    and normal handshakes, and also not quite consistent with historical
968    behaviour. The behaviour in various scenarios has been clarified and
969    it has been updated to make it match historical behaviour as closely as
970    possible.
971
972    *Matt Caswell*
973
974  * *[VMS only]* The header files that the VMS compilers include automatically,
975    `__DECC_INCLUDE_PROLOGUE.H` and `__DECC_INCLUDE_EPILOGUE.H`, use pragmas
976    that the C++ compiler doesn't understand.  This is a shortcoming in the
977    compiler, but can be worked around with `__cplusplus` guards.
978
979    C++ applications that use OpenSSL libraries must be compiled using the
980    qualifier `/NAMES=(AS_IS,SHORTENED)` to be able to use all the OpenSSL
981    functions.  Otherwise, only functions with symbols of less than 31
982    characters can be used, as the linker will not be able to successfully
983    resolve symbols with longer names.
984
985    *Richard Levitte*
986
987  * Added a new method to gather entropy on VMS, based on SYS$GET_ENTROPY.
988    The presence of this system service is determined at run-time.
989
990    *Richard Levitte*
991
992  * Added newline escaping functionality to a filename when using openssl dgst.
993    This output format is to replicate the output format found in the '*sum'
994    checksum programs. This aims to preserve backward compatibility.
995
996    *Matt Eaton, Richard Levitte, and Paul Dale*
997
998  * Print all values for a PKCS#12 attribute with 'openssl pkcs12', not just
999    the first value.
1000
1001    *Jon Spillett*
1002
1003 ### Changes between 1.1.1c and 1.1.1d [10 Sep 2019] ###
1004
1005  * Fixed a fork protection issue. OpenSSL 1.1.1 introduced a rewritten random
1006    number generator (RNG). This was intended to include protection in the
1007    event of a fork() system call in order to ensure that the parent and child
1008    processes did not share the same RNG state. However this protection was not
1009    being used in the default case.
1010
1011    A partial mitigation for this issue is that the output from a high
1012    precision timer is mixed into the RNG state so the likelihood of a parent
1013    and child process sharing state is significantly reduced.
1014
1015    If an application already calls OPENSSL_init_crypto() explicitly using
1016    OPENSSL_INIT_ATFORK then this problem does not occur at all.
1017    [CVE-2019-1549][]
1018
1019    *Matthias St. Pierre*
1020
1021  * For built-in EC curves, ensure an EC_GROUP built from the curve name is
1022    used even when parsing explicit parameters, when loading a serialized key
1023    or calling `EC_GROUP_new_from_ecpkparameters()`/
1024    `EC_GROUP_new_from_ecparameters()`.
1025    This prevents bypass of security hardening and performance gains,
1026    especially for curves with specialized EC_METHODs.
1027    By default, if a key encoded with explicit parameters is loaded and later
1028    serialized, the output is still encoded with explicit parameters, even if
1029    internally a "named" EC_GROUP is used for computation.
1030
1031    *Nicola Tuveri*
1032
1033  * Compute ECC cofactors if not provided during EC_GROUP construction. Before
1034    this change, EC_GROUP_set_generator would accept order and/or cofactor as
1035    NULL. After this change, only the cofactor parameter can be NULL. It also
1036    does some minimal sanity checks on the passed order.
1037    [CVE-2019-1547][]
1038
1039    *Billy Bob Brumley*
1040
1041  * Fixed a padding oracle in PKCS7_dataDecode and CMS_decrypt_set1_pkey.
1042    An attack is simple, if the first CMS_recipientInfo is valid but the
1043    second CMS_recipientInfo is chosen ciphertext. If the second
1044    recipientInfo decodes to PKCS #1 v1.5 form plaintext, the correct
1045    encryption key will be replaced by garbage, and the message cannot be
1046    decoded, but if the RSA decryption fails, the correct encryption key is
1047    used and the recipient will not notice the attack.
1048    As a work around for this potential attack the length of the decrypted
1049    key must be equal to the cipher default key length, in case the
1050    certifiate is not given and all recipientInfo are tried out.
1051    The old behaviour can be re-enabled in the CMS code by setting the
1052    CMS_DEBUG_DECRYPT flag.
1053    [CVE-2019-1563][]
1054
1055    *Bernd Edlinger*
1056
1057  * Early start up entropy quality from the DEVRANDOM seed source has been
1058    improved for older Linux systems.  The RAND subsystem will wait for
1059    /dev/random to be producing output before seeding from /dev/urandom.
1060    The seeded state is stored for future library initialisations using
1061    a system global shared memory segment.  The shared memory identifier
1062    can be configured by defining OPENSSL_RAND_SEED_DEVRANDOM_SHM_ID to
1063    the desired value.  The default identifier is 114.
1064
1065    *Paul Dale*
1066
1067  * Correct the extended master secret constant on EBCDIC systems. Without this
1068    fix TLS connections between an EBCDIC system and a non-EBCDIC system that
1069    negotiate EMS will fail. Unfortunately this also means that TLS connections
1070    between EBCDIC systems with this fix, and EBCDIC systems without this
1071    fix will fail if they negotiate EMS.
1072
1073    *Matt Caswell*
1074
1075  * Use Windows installation paths in the mingw builds
1076
1077    Mingw isn't a POSIX environment per se, which means that Windows
1078    paths should be used for installation.
1079    [CVE-2019-1552][]
1080
1081    *Richard Levitte*
1082
1083  * Changed DH_check to accept parameters with order q and 2q subgroups.
1084    With order 2q subgroups the bit 0 of the private key is not secret
1085    but DH_generate_key works around that by clearing bit 0 of the
1086    private key for those. This avoids leaking bit 0 of the private key.
1087
1088    *Bernd Edlinger*
1089
1090  * Significantly reduce secure memory usage by the randomness pools.
1091
1092    *Paul Dale*
1093
1094  * Revert the DEVRANDOM_WAIT feature for Linux systems
1095
1096    The DEVRANDOM_WAIT feature added a select() call to wait for the
1097    /dev/random device to become readable before reading from the
1098    /dev/urandom device.
1099
1100    It turned out that this change had negative side effects on
1101    performance which were not acceptable. After some discussion it
1102    was decided to revert this feature and leave it up to the OS
1103    resp. the platform maintainer to ensure a proper initialization
1104    during early boot time.
1105
1106    *Matthias St. Pierre*
1107
1108 ### Changes between 1.1.1b and 1.1.1c [28 May 2019] ###
1109
1110  * Add build tests for C++.  These are generated files that only do one
1111    thing, to include one public OpenSSL head file each.  This tests that
1112    the public header files can be usefully included in a C++ application.
1113
1114    This test isn't enabled by default.  It can be enabled with the option
1115    'enable-buildtest-c++'.
1116
1117    *Richard Levitte*
1118
1119  * Enable SHA3 pre-hashing for ECDSA and DSA.
1120
1121    *Patrick Steuer*
1122
1123  * Change the default RSA, DSA and DH size to 2048 bit instead of 1024.
1124    This changes the size when using the genpkey app when no size is given. It
1125    fixes an omission in earlier changes that changed all RSA, DSA and DH
1126    generation apps to use 2048 bits by default.
1127
1128    *Kurt Roeckx*
1129
1130  * Reorganize the manual pages to consistently have RETURN VALUES,
1131    EXAMPLES, SEE ALSO and HISTORY come in that order, and adjust
1132    util/fix-doc-nits accordingly.
1133
1134    *Paul Yang, Joshua Lock*
1135
1136  * Add the missing accessor EVP_PKEY_get0_engine()
1137
1138    *Matt Caswell*
1139
1140  * Have apps like 's_client' and 's_server' output the signature scheme
1141    along with other cipher suite parameters when debugging.
1142
1143    *Lorinczy Zsigmond*
1144
1145  * Make OPENSSL_config() error agnostic again.
1146
1147    *Richard Levitte*
1148
1149  * Do the error handling in RSA decryption constant time.
1150
1151    *Bernd Edlinger*
1152
1153  * Prevent over long nonces in ChaCha20-Poly1305.
1154
1155    ChaCha20-Poly1305 is an AEAD cipher, and requires a unique nonce input
1156    for every encryption operation. RFC 7539 specifies that the nonce value
1157    (IV) should be 96 bits (12 bytes). OpenSSL allows a variable nonce length
1158    and front pads the nonce with 0 bytes if it is less than 12
1159    bytes. However it also incorrectly allows a nonce to be set of up to 16
1160    bytes. In this case only the last 12 bytes are significant and any
1161    additional leading bytes are ignored.
1162
1163    It is a requirement of using this cipher that nonce values are
1164    unique. Messages encrypted using a reused nonce value are susceptible to
1165    serious confidentiality and integrity attacks. If an application changes
1166    the default nonce length to be longer than 12 bytes and then makes a
1167    change to the leading bytes of the nonce expecting the new value to be a
1168    new unique nonce then such an application could inadvertently encrypt
1169    messages with a reused nonce.
1170
1171    Additionally the ignored bytes in a long nonce are not covered by the
1172    integrity guarantee of this cipher. Any application that relies on the
1173    integrity of these ignored leading bytes of a long nonce may be further
1174    affected. Any OpenSSL internal use of this cipher, including in SSL/TLS,
1175    is safe because no such use sets such a long nonce value. However user
1176    applications that use this cipher directly and set a non-default nonce
1177    length to be longer than 12 bytes may be vulnerable.
1178
1179    This issue was reported to OpenSSL on 16th of March 2019 by Joran Dirk
1180    Greef of Ronomon.
1181    [CVE-2019-1543][]
1182
1183    *Matt Caswell*
1184
1185  * Add DEVRANDOM_WAIT feature for Linux systems
1186
1187    On older Linux systems where the getrandom() system call is not available,
1188    OpenSSL normally uses the /dev/urandom device for seeding its CSPRNG.
1189    Contrary to getrandom(), the /dev/urandom device will not block during
1190    early boot when the kernel CSPRNG has not been seeded yet.
1191
1192    To mitigate this known weakness, use select() to wait for /dev/random to
1193    become readable before reading from /dev/urandom.
1194
1195  * Ensure that SM2 only uses SM3 as digest algorithm
1196
1197    *Paul Yang*
1198
1199 ### Changes between 1.1.1a and 1.1.1b [26 Feb 2019] ###
1200
1201  * Change the info callback signals for the start and end of a post-handshake
1202    message exchange in TLSv1.3. In 1.1.1/1.1.1a we used SSL_CB_HANDSHAKE_START
1203    and SSL_CB_HANDSHAKE_DONE. Experience has shown that many applications get
1204    confused by this and assume that a TLSv1.2 renegotiation has started. This
1205    can break KeyUpdate handling. Instead we no longer signal the start and end
1206    of a post handshake message exchange (although the messages themselves are
1207    still signalled). This could break some applications that were expecting
1208    the old signals. However without this KeyUpdate is not usable for many
1209    applications.
1210
1211    *Matt Caswell*
1212
1213 ### Changes between 1.1.1 and 1.1.1a [20 Nov 2018] ###
1214
1215  * Timing vulnerability in DSA signature generation
1216
1217    The OpenSSL DSA signature algorithm has been shown to be vulnerable to a
1218    timing side channel attack. An attacker could use variations in the signing
1219    algorithm to recover the private key.
1220
1221    This issue was reported to OpenSSL on 16th October 2018 by Samuel Weiser.
1222    [CVE-2018-0734][]
1223
1224    *Paul Dale*
1225
1226  * Timing vulnerability in ECDSA signature generation
1227
1228    The OpenSSL ECDSA signature algorithm has been shown to be vulnerable to a
1229    timing side channel attack. An attacker could use variations in the signing
1230    algorithm to recover the private key.
1231
1232    This issue was reported to OpenSSL on 25th October 2018 by Samuel Weiser.
1233    [CVE-2018-0735][]
1234
1235    *Paul Dale*
1236
1237  * Fixed the issue that RAND_add()/RAND_seed() silently discards random input
1238    if its length exceeds 4096 bytes. The limit has been raised to a buffer size
1239    of two gigabytes and the error handling improved.
1240
1241    This issue was reported to OpenSSL by Dr. Falko Strenzke. It has been
1242    categorized as a normal bug, not a security issue, because the DRBG reseeds
1243    automatically and is fully functional even without additional randomness
1244    provided by the application.
1245
1246 ### Changes between 1.1.0i and 1.1.1 [11 Sep 2018] ###
1247
1248  * Add a new ClientHello callback. Provides a callback interface that gives
1249    the application the ability to adjust the nascent SSL object at the
1250    earliest stage of ClientHello processing, immediately after extensions have
1251    been collected but before they have been processed. In particular, this
1252    callback can adjust the supported TLS versions in response to the contents
1253    of the ClientHello
1254
1255    *Benjamin Kaduk*
1256
1257  * Add SM2 base algorithm support.
1258
1259    *Jack Lloyd*
1260
1261  * s390x assembly pack: add (improved) hardware-support for the following
1262    cryptographic primitives: sha3, shake, aes-gcm, aes-ccm, aes-ctr, aes-ofb,
1263    aes-cfb/cfb8, aes-ecb.
1264
1265    *Patrick Steuer*
1266
1267  * Make EVP_PKEY_asn1_new() a bit stricter about its input.  A NULL pem_str
1268    parameter is no longer accepted, as it leads to a corrupt table.  NULL
1269    pem_str is reserved for alias entries only.
1270
1271    *Richard Levitte*
1272
1273  * Use the new ec_scalar_mul_ladder scaffold to implement a specialized ladder
1274    step for prime curves. The new implementation is based on formulae from
1275    differential addition-and-doubling in homogeneous projective coordinates
1276    from Izu-Takagi "A fast parallel elliptic curve multiplication resistant
1277    against side channel attacks" and Brier-Joye "Weierstrass Elliptic Curves
1278    and Side-Channel Attacks" Eq. (8) for y-coordinate recovery, modified
1279    to work in projective coordinates.
1280
1281    *Billy Bob Brumley, Nicola Tuveri*
1282
1283  * Change generating and checking of primes so that the error rate of not
1284    being prime depends on the intended use based on the size of the input.
1285    For larger primes this will result in more rounds of Miller-Rabin.
1286    The maximal error rate for primes with more than 1080 bits is lowered
1287    to 2^-128.
1288
1289    *Kurt Roeckx, Annie Yousar*
1290
1291  * Increase the number of Miller-Rabin rounds for DSA key generating to 64.
1292
1293    *Kurt Roeckx*
1294
1295  * The 'tsget' script is renamed to 'tsget.pl', to avoid confusion when
1296    moving between systems, and to avoid confusion when a Windows build is
1297    done with mingw vs with MSVC.  For POSIX installs, there's still a
1298    symlink or copy named 'tsget' to avoid that confusion as well.
1299
1300    *Richard Levitte*
1301
1302  * Revert blinding in ECDSA sign and instead make problematic addition
1303    length-invariant. Switch even to fixed-length Montgomery multiplication.
1304
1305    *Andy Polyakov*
1306
1307  * Use the new ec_scalar_mul_ladder scaffold to implement a specialized ladder
1308    step for binary curves. The new implementation is based on formulae from
1309    differential addition-and-doubling in mixed Lopez-Dahab projective
1310    coordinates, modified to independently blind the operands.
1311
1312    *Billy Bob Brumley, Sohaib ul Hassan, Nicola Tuveri*
1313
1314  * Add a scaffold to optionally enhance the Montgomery ladder implementation
1315    for `ec_scalar_mul_ladder` (formerly `ec_mul_consttime`) allowing
1316    EC_METHODs to implement their own specialized "ladder step", to take
1317    advantage of more favorable coordinate systems or more efficient
1318    differential addition-and-doubling algorithms.
1319
1320    *Billy Bob Brumley, Sohaib ul Hassan, Nicola Tuveri*
1321
1322  * Modified the random device based seed sources to keep the relevant
1323    file descriptors open rather than reopening them on each access.
1324    This allows such sources to operate in a chroot() jail without
1325    the associated device nodes being available. This behaviour can be
1326    controlled using RAND_keep_random_devices_open().
1327
1328    *Paul Dale*
1329
1330  * Numerous side-channel attack mitigations have been applied. This may have
1331    performance impacts for some algorithms for the benefit of improved
1332    security. Specific changes are noted in this change log by their respective
1333    authors.
1334
1335    *Matt Caswell*
1336
1337  * AIX shared library support overhaul. Switch to AIX "natural" way of
1338    handling shared libraries, which means collecting shared objects of
1339    different versions and bitnesses in one common archive. This allows to
1340    mitigate conflict between 1.0 and 1.1 side-by-side installations. It
1341    doesn't affect the way 3rd party applications are linked, only how
1342    multi-version installation is managed.
1343
1344    *Andy Polyakov*
1345
1346  * Make ec_group_do_inverse_ord() more robust and available to other
1347    EC cryptosystems, so that irrespective of BN_FLG_CONSTTIME, SCA
1348    mitigations are applied to the fallback BN_mod_inverse().
1349    When using this function rather than BN_mod_inverse() directly, new
1350    EC cryptosystem implementations are then safer-by-default.
1351
1352    *Billy Bob Brumley*
1353
1354  * Add coordinate blinding for EC_POINT and implement projective
1355    coordinate blinding for generic prime curves as a countermeasure to
1356    chosen point SCA attacks.
1357
1358    *Sohaib ul Hassan, Nicola Tuveri, Billy Bob Brumley*
1359
1360  * Add blinding to ECDSA and DSA signatures to protect against side channel
1361    attacks discovered by Keegan Ryan (NCC Group).
1362
1363    *Matt Caswell*
1364
1365  * Enforce checking in the pkeyutl command line app to ensure that the input
1366    length does not exceed the maximum supported digest length when performing
1367    a sign, verify or verifyrecover operation.
1368
1369    *Matt Caswell*
1370
1371  * SSL_MODE_AUTO_RETRY is enabled by default. Applications that use blocking
1372    I/O in combination with something like select() or poll() will hang. This
1373    can be turned off again using SSL_CTX_clear_mode().
1374    Many applications do not properly handle non-application data records, and
1375    TLS 1.3 sends more of such records. Setting SSL_MODE_AUTO_RETRY works
1376    around the problems in those applications, but can also break some.
1377    It's recommended to read the manpages about SSL_read(), SSL_write(),
1378    SSL_get_error(), SSL_shutdown(), SSL_CTX_set_mode() and
1379    SSL_CTX_set_read_ahead() again.
1380
1381    *Kurt Roeckx*
1382
1383  * When unlocking a pass phrase protected PEM file or PKCS#8 container, we
1384    now allow empty (zero character) pass phrases.
1385
1386    *Richard Levitte*
1387
1388  * Apply blinding to binary field modular inversion and remove patent
1389    pending (OPENSSL_SUN_GF2M_DIV) BN_GF2m_mod_div implementation.
1390
1391    *Billy Bob Brumley*
1392
1393  * Deprecate ec2_mult.c and unify scalar multiplication code paths for
1394    binary and prime elliptic curves.
1395
1396    *Billy Bob Brumley*
1397
1398  * Remove ECDSA nonce padding: EC_POINT_mul is now responsible for
1399    constant time fixed point multiplication.
1400
1401    *Billy Bob Brumley*
1402
1403  * Revise elliptic curve scalar multiplication with timing attack
1404    defenses: ec_wNAF_mul redirects to a constant time implementation
1405    when computing fixed point and variable point multiplication (which
1406    in OpenSSL are mostly used with secret scalars in keygen, sign,
1407    ECDH derive operations).
1408    *Billy Bob Brumley, Nicola Tuveri, Cesar Pereida García,
1409     Sohaib ul Hassan*
1410
1411  * Updated CONTRIBUTING
1412
1413    *Rich Salz*
1414
1415  * Updated DRBG / RAND to request nonce and additional low entropy
1416    randomness from the system.
1417
1418    *Matthias St. Pierre*
1419
1420  * Updated 'openssl rehash' to use OpenSSL consistent default.
1421
1422    *Richard Levitte*
1423
1424  * Moved the load of the ssl_conf module to libcrypto, which helps
1425    loading engines that libssl uses before libssl is initialised.
1426
1427    *Matt Caswell*
1428
1429  * Added EVP_PKEY_sign() and EVP_PKEY_verify() for EdDSA
1430
1431    *Matt Caswell*
1432
1433  * Fixed X509_NAME_ENTRY_set to get multi-valued RDNs right in all cases.
1434
1435    *Ingo Schwarze, Rich Salz*
1436
1437  * Added output of accepting IP address and port for 'openssl s_server'
1438
1439    *Richard Levitte*
1440
1441  * Added a new API for TLSv1.3 ciphersuites:
1442       SSL_CTX_set_ciphersuites()
1443       SSL_set_ciphersuites()
1444
1445    *Matt Caswell*
1446
1447  * Memory allocation failures consistently add an error to the error
1448    stack.
1449
1450    *Rich Salz*
1451
1452  * Don't use OPENSSL_ENGINES and OPENSSL_CONF environment values
1453    in libcrypto when run as setuid/setgid.
1454
1455    *Bernd Edlinger*
1456
1457  * Load any config file by default when libssl is used.
1458
1459    *Matt Caswell*
1460
1461  * Added new public header file <openssl/rand_drbg.h> and documentation
1462    for the RAND_DRBG API. See manual page RAND_DRBG(7) for an overview.
1463
1464    *Matthias St. Pierre*
1465
1466  * QNX support removed (cannot find contributors to get their approval
1467    for the license change).
1468
1469    *Rich Salz*
1470
1471  * TLSv1.3 replay protection for early data has been implemented. See the
1472    SSL_read_early_data() man page for further details.
1473
1474    *Matt Caswell*
1475
1476  * Separated TLSv1.3 ciphersuite configuration out from TLSv1.2 ciphersuite
1477    configuration. TLSv1.3 ciphersuites are not compatible with TLSv1.2 and
1478    below. Similarly TLSv1.2 ciphersuites are not compatible with TLSv1.3.
1479    In order to avoid issues where legacy TLSv1.2 ciphersuite configuration
1480    would otherwise inadvertently disable all TLSv1.3 ciphersuites the
1481    configuration has been separated out. See the ciphers man page or the
1482    SSL_CTX_set_ciphersuites() man page for more information.
1483
1484    *Matt Caswell*
1485
1486  * On POSIX (BSD, Linux, ...) systems the ocsp(1) command running
1487    in responder mode now supports the new "-multi" option, which
1488    spawns the specified number of child processes to handle OCSP
1489    requests.  The "-timeout" option now also limits the OCSP
1490    responder's patience to wait to receive the full client request
1491    on a newly accepted connection. Child processes are respawned
1492    as needed, and the CA index file is automatically reloaded
1493    when changed.  This makes it possible to run the "ocsp" responder
1494    as a long-running service, making the OpenSSL CA somewhat more
1495    feature-complete.  In this mode, most diagnostic messages logged
1496    after entering the event loop are logged via syslog(3) rather than
1497    written to stderr.
1498
1499    *Viktor Dukhovni*
1500
1501  * Added support for X448 and Ed448. Heavily based on original work by
1502    Mike Hamburg.
1503
1504    *Matt Caswell*
1505
1506  * Extend OSSL_STORE with capabilities to search and to narrow the set of
1507    objects loaded.  This adds the functions OSSL_STORE_expect() and
1508    OSSL_STORE_find() as well as needed tools to construct searches and
1509    get the search data out of them.
1510
1511    *Richard Levitte*
1512
1513  * Support for TLSv1.3 added. Note that users upgrading from an earlier
1514    version of OpenSSL should review their configuration settings to ensure
1515    that they are still appropriate for TLSv1.3. For further information see:
1516    https://wiki.openssl.org/index.php/TLS1.3
1517
1518    *Matt Caswell*
1519
1520  * Grand redesign of the OpenSSL random generator
1521
1522    The default RAND method now utilizes an AES-CTR DRBG according to
1523    NIST standard SP 800-90Ar1. The new random generator is essentially
1524    a port of the default random generator from the OpenSSL FIPS 2.0
1525    object module. It is a hybrid deterministic random bit generator
1526    using an AES-CTR bit stream and which seeds and reseeds itself
1527    automatically using trusted system entropy sources.
1528
1529    Some of its new features are:
1530     - Support for multiple DRBG instances with seed chaining.
1531     - The default RAND method makes use of a DRBG.
1532     - There is a public and private DRBG instance.
1533     - The DRBG instances are fork-safe.
1534     - Keep all global DRBG instances on the secure heap if it is enabled.
1535     - The public and private DRBG instance are per thread for lock free
1536       operation
1537
1538    *Paul Dale, Benjamin Kaduk, Kurt Roeckx, Rich Salz, Matthias St. Pierre*
1539
1540  * Changed Configure so it only says what it does and doesn't dump
1541    so much data.  Instead, ./configdata.pm should be used as a script
1542    to display all sorts of configuration data.
1543
1544    *Richard Levitte*
1545
1546  * Added processing of "make variables" to Configure.
1547
1548    *Richard Levitte*
1549
1550  * Added SHA512/224 and SHA512/256 algorithm support.
1551
1552    *Paul Dale*
1553
1554  * The last traces of Netware support, first removed in 1.1.0, have
1555    now been removed.
1556
1557    *Rich Salz*
1558
1559  * Get rid of Makefile.shared, and in the process, make the processing
1560    of certain files (rc.obj, or the .def/.map/.opt files produced from
1561    the ordinal files) more visible and hopefully easier to trace and
1562    debug (or make silent).
1563
1564    *Richard Levitte*
1565
1566  * Make it possible to have environment variable assignments as
1567    arguments to config / Configure.
1568
1569    *Richard Levitte*
1570
1571  * Add multi-prime RSA (RFC 8017) support.
1572
1573    *Paul Yang*
1574
1575  * Add SM3 implemented according to GB/T 32905-2016
1576    * Jack Lloyd <jack.lloyd@ribose.com>,
1577      Ronald Tse <ronald.tse@ribose.com>,
1578      Erick Borsboom <erick.borsboom@ribose.com> *
1579
1580  * Add 'Maximum Fragment Length' TLS extension negotiation and support
1581    as documented in RFC6066.
1582    Based on a patch from Tomasz Moń
1583
1584    *Filipe Raimundo da Silva*
1585
1586  * Add SM4 implemented according to GB/T 32907-2016.
1587    * Jack Lloyd <jack.lloyd@ribose.com>,
1588      Ronald Tse <ronald.tse@ribose.com>,
1589      Erick Borsboom <erick.borsboom@ribose.com> *
1590
1591  * Reimplement -newreq-nodes and ERR_error_string_n; the
1592    original author does not agree with the license change.
1593
1594    *Rich Salz*
1595
1596  * Add ARIA AEAD TLS support.
1597
1598    *Jon Spillett*
1599
1600  * Some macro definitions to support VS6 have been removed.  Visual
1601    Studio 6 has not worked since 1.1.0
1602
1603    *Rich Salz*
1604
1605  * Add ERR_clear_last_mark(), to allow callers to clear the last mark
1606    without clearing the errors.
1607
1608    *Richard Levitte*
1609
1610  * Add "atfork" functions.  If building on a system that without
1611    pthreads, see doc/man3/OPENSSL_fork_prepare.pod for application
1612    requirements.  The RAND facility now uses/requires this.
1613
1614    *Rich Salz*
1615
1616  * Add SHA3.
1617
1618    *Andy Polyakov*
1619
1620  * The UI API becomes a permanent and integral part of libcrypto, i.e.
1621    not possible to disable entirely.  However, it's still possible to
1622    disable the console reading UI method, UI_OpenSSL() (use UI_null()
1623    as a fallback).
1624
1625    To disable, configure with 'no-ui-console'.  'no-ui' is still
1626    possible to use as an alias.  Check at compile time with the
1627    macro OPENSSL_NO_UI_CONSOLE.  The macro OPENSSL_NO_UI is still
1628    possible to check and is an alias for OPENSSL_NO_UI_CONSOLE.
1629
1630    *Richard Levitte*
1631
1632  * Add a STORE module, which implements a uniform and URI based reader of
1633    stores that can contain keys, certificates, CRLs and numerous other
1634    objects.  The main API is loosely based on a few stdio functions,
1635    and includes OSSL_STORE_open, OSSL_STORE_load, OSSL_STORE_eof,
1636    OSSL_STORE_error and OSSL_STORE_close.
1637    The implementation uses backends called "loaders" to implement arbitrary
1638    URI schemes.  There is one built in "loader" for the 'file' scheme.
1639
1640    *Richard Levitte*
1641
1642  * Add devcrypto engine.  This has been implemented against cryptodev-linux,
1643    then adjusted to work on FreeBSD 8.4 as well.
1644    Enable by configuring with 'enable-devcryptoeng'.  This is done by default
1645    on BSD implementations, as cryptodev.h is assumed to exist on all of them.
1646
1647    *Richard Levitte*
1648
1649  * Module names can prefixed with OSSL_ or OPENSSL_.  This affects
1650    util/mkerr.pl, which is adapted to allow those prefixes, leading to
1651    error code calls like this:
1652
1653            OSSL_FOOerr(OSSL_FOO_F_SOMETHING, OSSL_FOO_R_WHATEVER);
1654
1655    With this change, we claim the namespaces OSSL and OPENSSL in a manner
1656    that can be encoded in C.  For the foreseeable future, this will only
1657    affect new modules.
1658
1659    *Richard Levitte and Tim Hudson*
1660
1661  * Removed BSD cryptodev engine.
1662
1663    *Rich Salz*
1664
1665  * Add a build target 'build_all_generated', to build all generated files
1666    and only that.  This can be used to prepare everything that requires
1667    things like perl for a system that lacks perl and then move everything
1668    to that system and do the rest of the build there.
1669
1670    *Richard Levitte*
1671
1672  * In the UI interface, make it possible to duplicate the user data.  This
1673    can be used by engines that need to retain the data for a longer time
1674    than just the call where this user data is passed.
1675
1676    *Richard Levitte*
1677
1678  * Ignore the '-named_curve auto' value for compatibility of applications
1679    with OpenSSL 1.0.2.
1680
1681    *Tomas Mraz <tmraz@fedoraproject.org>*
1682
1683  * Fragmented SSL/TLS alerts are no longer accepted. An alert message is 2
1684    bytes long. In theory it is permissible in SSLv3 - TLSv1.2 to fragment such
1685    alerts across multiple records (some of which could be empty). In practice
1686    it make no sense to send an empty alert record, or to fragment one. TLSv1.3
1687    prohibits this altogether and other libraries (BoringSSL, NSS) do not
1688    support this at all. Supporting it adds significant complexity to the
1689    record layer, and its removal is unlikely to cause interoperability
1690    issues.
1691
1692    *Matt Caswell*
1693
1694  * Add the ASN.1 types INT32, UINT32, INT64, UINT64 and variants prefixed
1695    with Z.  These are meant to replace LONG and ZLONG and to be size safe.
1696    The use of LONG and ZLONG is discouraged and scheduled for deprecation
1697    in OpenSSL 1.2.0.
1698
1699    *Richard Levitte*
1700
1701  * Add the 'z' and 'j' modifiers to BIO_printf() et al formatting string,
1702    'z' is to be used for [s]size_t, and 'j' - with [u]int64_t.
1703
1704    *Richard Levitte, Andy Polyakov*
1705
1706  * Add EC_KEY_get0_engine(), which does for EC_KEY what RSA_get0_engine()
1707    does for RSA, etc.
1708
1709    *Richard Levitte*
1710
1711  * Have 'config' recognise 64-bit mingw and choose 'mingw64' as the target
1712    platform rather than 'mingw'.
1713
1714    *Richard Levitte*
1715
1716  * The functions X509_STORE_add_cert and X509_STORE_add_crl return
1717    success if they are asked to add an object which already exists
1718    in the store. This change cascades to other functions which load
1719    certificates and CRLs.
1720
1721    *Paul Dale*
1722
1723  * x86_64 assembly pack: annotate code with DWARF CFI directives to
1724    facilitate stack unwinding even from assembly subroutines.
1725
1726    *Andy Polyakov*
1727
1728  * Remove VAX C specific definitions of OPENSSL_EXPORT, OPENSSL_EXTERN.
1729    Also remove OPENSSL_GLOBAL entirely, as it became a no-op.
1730
1731    *Richard Levitte*
1732
1733  * Remove the VMS-specific reimplementation of gmtime from crypto/o_times.c.
1734    VMS C's RTL has a fully up to date gmtime() and gmtime_r() since V7.1,
1735    which is the minimum version we support.
1736
1737    *Richard Levitte*
1738
1739  * Certificate time validation (X509_cmp_time) enforces stricter
1740    compliance with RFC 5280. Fractional seconds and timezone offsets
1741    are no longer allowed.
1742
1743    *Emilia Käsper*
1744
1745  * Add support for ARIA
1746
1747    *Paul Dale*
1748
1749  * s_client will now send the Server Name Indication (SNI) extension by
1750    default unless the new "-noservername" option is used. The server name is
1751    based on the host provided to the "-connect" option unless overridden by
1752    using "-servername".
1753
1754    *Matt Caswell*
1755
1756  * Add support for SipHash
1757
1758    *Todd Short*
1759
1760  * OpenSSL now fails if it receives an unrecognised record type in TLS1.0
1761    or TLS1.1. Previously this only happened in SSLv3 and TLS1.2. This is to
1762    prevent issues where no progress is being made and the peer continually
1763    sends unrecognised record types, using up resources processing them.
1764
1765    *Matt Caswell*
1766
1767  * 'openssl passwd' can now produce SHA256 and SHA512 based output,
1768    using the algorithm defined in
1769    https://www.akkadia.org/drepper/SHA-crypt.txt
1770
1771    *Richard Levitte*
1772
1773  * Heartbeat support has been removed; the ABI is changed for now.
1774
1775    *Richard Levitte, Rich Salz*
1776
1777  * Support for SSL_OP_NO_ENCRYPT_THEN_MAC in SSL_CONF_cmd.
1778
1779    *Emilia Käsper*
1780
1781  * The RSA "null" method, which was partially supported to avoid patent
1782    issues, has been replaced to always returns NULL.
1783
1784    *Rich Salz*
1785
1786 OpenSSL 1.1.0
1787 -------------
1788
1789
1790 ### Changes between 1.1.0k and 1.1.0l [10 Sep 2019] ###
1791
1792  * For built-in EC curves, ensure an EC_GROUP built from the curve name is
1793    used even when parsing explicit parameters, when loading a serialized key
1794    or calling `EC_GROUP_new_from_ecpkparameters()`/
1795    `EC_GROUP_new_from_ecparameters()`.
1796    This prevents bypass of security hardening and performance gains,
1797    especially for curves with specialized EC_METHODs.
1798    By default, if a key encoded with explicit parameters is loaded and later
1799    serialized, the output is still encoded with explicit parameters, even if
1800    internally a "named" EC_GROUP is used for computation.
1801
1802    *Nicola Tuveri*
1803
1804  * Compute ECC cofactors if not provided during EC_GROUP construction. Before
1805    this change, EC_GROUP_set_generator would accept order and/or cofactor as
1806    NULL. After this change, only the cofactor parameter can be NULL. It also
1807    does some minimal sanity checks on the passed order.
1808    [CVE-2019-1547][]
1809
1810    *Billy Bob Brumley*
1811
1812  * Fixed a padding oracle in PKCS7_dataDecode and CMS_decrypt_set1_pkey.
1813    An attack is simple, if the first CMS_recipientInfo is valid but the
1814    second CMS_recipientInfo is chosen ciphertext. If the second
1815    recipientInfo decodes to PKCS #1 v1.5 form plaintext, the correct
1816    encryption key will be replaced by garbage, and the message cannot be
1817    decoded, but if the RSA decryption fails, the correct encryption key is
1818    used and the recipient will not notice the attack.
1819    As a work around for this potential attack the length of the decrypted
1820    key must be equal to the cipher default key length, in case the
1821    certifiate is not given and all recipientInfo are tried out.
1822    The old behaviour can be re-enabled in the CMS code by setting the
1823    CMS_DEBUG_DECRYPT flag.
1824    [CVE-2019-1563][]
1825
1826    *Bernd Edlinger*
1827
1828  * Use Windows installation paths in the mingw builds
1829
1830    Mingw isn't a POSIX environment per se, which means that Windows
1831    paths should be used for installation.
1832    [CVE-2019-1552][]
1833
1834    *Richard Levitte*
1835
1836 ### Changes between 1.1.0j and 1.1.0k [28 May 2019] ###
1837
1838  * Change the default RSA, DSA and DH size to 2048 bit instead of 1024.
1839    This changes the size when using the genpkey app when no size is given. It
1840    fixes an omission in earlier changes that changed all RSA, DSA and DH
1841    generation apps to use 2048 bits by default.
1842
1843    *Kurt Roeckx*
1844
1845  * Prevent over long nonces in ChaCha20-Poly1305.
1846
1847    ChaCha20-Poly1305 is an AEAD cipher, and requires a unique nonce input
1848    for every encryption operation. RFC 7539 specifies that the nonce value
1849    (IV) should be 96 bits (12 bytes). OpenSSL allows a variable nonce length
1850    and front pads the nonce with 0 bytes if it is less than 12
1851    bytes. However it also incorrectly allows a nonce to be set of up to 16
1852    bytes. In this case only the last 12 bytes are significant and any
1853    additional leading bytes are ignored.
1854
1855    It is a requirement of using this cipher that nonce values are
1856    unique. Messages encrypted using a reused nonce value are susceptible to
1857    serious confidentiality and integrity attacks. If an application changes
1858    the default nonce length to be longer than 12 bytes and then makes a
1859    change to the leading bytes of the nonce expecting the new value to be a
1860    new unique nonce then such an application could inadvertently encrypt
1861    messages with a reused nonce.
1862
1863    Additionally the ignored bytes in a long nonce are not covered by the
1864    integrity guarantee of this cipher. Any application that relies on the
1865    integrity of these ignored leading bytes of a long nonce may be further
1866    affected. Any OpenSSL internal use of this cipher, including in SSL/TLS,
1867    is safe because no such use sets such a long nonce value. However user
1868    applications that use this cipher directly and set a non-default nonce
1869    length to be longer than 12 bytes may be vulnerable.
1870
1871    This issue was reported to OpenSSL on 16th of March 2019 by Joran Dirk
1872    Greef of Ronomon.
1873    [CVE-2019-1543][]
1874
1875    *Matt Caswell*
1876
1877  * Added SCA hardening for modular field inversion in EC_GROUP through
1878    a new dedicated field_inv() pointer in EC_METHOD.
1879    This also addresses a leakage affecting conversions from projective
1880    to affine coordinates.
1881
1882    *Billy Bob Brumley, Nicola Tuveri*
1883
1884  * Fix a use after free bug in d2i_X509_PUBKEY when overwriting a
1885    re-used X509_PUBKEY object if the second PUBKEY is malformed.
1886
1887    *Bernd Edlinger*
1888
1889  * Move strictness check from EVP_PKEY_asn1_new() to EVP_PKEY_asn1_add0().
1890
1891    *Richard Levitte*
1892
1893  * Remove the 'dist' target and add a tarball building script.  The
1894    'dist' target has fallen out of use, and it shouldn't be
1895    necessary to configure just to create a source distribution.
1896
1897    *Richard Levitte*
1898
1899 ### Changes between 1.1.0i and 1.1.0j [20 Nov 2018] ###
1900
1901  * Timing vulnerability in DSA signature generation
1902
1903    The OpenSSL DSA signature algorithm has been shown to be vulnerable to a
1904    timing side channel attack. An attacker could use variations in the signing
1905    algorithm to recover the private key.
1906
1907    This issue was reported to OpenSSL on 16th October 2018 by Samuel Weiser.
1908    [CVE-2018-0734][]
1909
1910    *Paul Dale*
1911
1912  * Timing vulnerability in ECDSA signature generation
1913
1914    The OpenSSL ECDSA signature algorithm has been shown to be vulnerable to a
1915    timing side channel attack. An attacker could use variations in the signing
1916    algorithm to recover the private key.
1917
1918    This issue was reported to OpenSSL on 25th October 2018 by Samuel Weiser.
1919    [CVE-2018-0735][]
1920
1921    *Paul Dale*
1922
1923  * Add coordinate blinding for EC_POINT and implement projective
1924    coordinate blinding for generic prime curves as a countermeasure to
1925    chosen point SCA attacks.
1926
1927    *Sohaib ul Hassan, Nicola Tuveri, Billy Bob Brumley*
1928
1929 ### Changes between 1.1.0h and 1.1.0i [14 Aug 2018] ###
1930
1931  * Client DoS due to large DH parameter
1932
1933    During key agreement in a TLS handshake using a DH(E) based ciphersuite a
1934    malicious server can send a very large prime value to the client. This will
1935    cause the client to spend an unreasonably long period of time generating a
1936    key for this prime resulting in a hang until the client has finished. This
1937    could be exploited in a Denial Of Service attack.
1938
1939    This issue was reported to OpenSSL on 5th June 2018 by Guido Vranken
1940    [CVE-2018-0732][]
1941
1942    *Guido Vranken*
1943
1944  * Cache timing vulnerability in RSA Key Generation
1945
1946    The OpenSSL RSA Key generation algorithm has been shown to be vulnerable to
1947    a cache timing side channel attack. An attacker with sufficient access to
1948    mount cache timing attacks during the RSA key generation process could
1949    recover the private key.
1950
1951    This issue was reported to OpenSSL on 4th April 2018 by Alejandro Cabrera
1952    Aldaya, Billy Brumley, Cesar Pereida Garcia and Luis Manuel Alvarez Tapia.
1953    [CVE-2018-0737][]
1954
1955    *Billy Brumley*
1956
1957  * Make EVP_PKEY_asn1_new() a bit stricter about its input.  A NULL pem_str
1958    parameter is no longer accepted, as it leads to a corrupt table.  NULL
1959    pem_str is reserved for alias entries only.
1960
1961    *Richard Levitte*
1962
1963  * Revert blinding in ECDSA sign and instead make problematic addition
1964    length-invariant. Switch even to fixed-length Montgomery multiplication.
1965
1966    *Andy Polyakov*
1967
1968  * Change generating and checking of primes so that the error rate of not
1969    being prime depends on the intended use based on the size of the input.
1970    For larger primes this will result in more rounds of Miller-Rabin.
1971    The maximal error rate for primes with more than 1080 bits is lowered
1972    to 2^-128.
1973
1974    *Kurt Roeckx, Annie Yousar*
1975
1976  * Increase the number of Miller-Rabin rounds for DSA key generating to 64.
1977
1978    *Kurt Roeckx*
1979
1980  * Add blinding to ECDSA and DSA signatures to protect against side channel
1981    attacks discovered by Keegan Ryan (NCC Group).
1982
1983    *Matt Caswell*
1984
1985  * When unlocking a pass phrase protected PEM file or PKCS#8 container, we
1986    now allow empty (zero character) pass phrases.
1987
1988    *Richard Levitte*
1989
1990  * Certificate time validation (X509_cmp_time) enforces stricter
1991    compliance with RFC 5280. Fractional seconds and timezone offsets
1992    are no longer allowed.
1993
1994    *Emilia Käsper*
1995
1996  * Fixed a text canonicalisation bug in CMS
1997
1998    Where a CMS detached signature is used with text content the text goes
1999    through a canonicalisation process first prior to signing or verifying a
2000    signature. This process strips trailing space at the end of lines, converts
2001    line terminators to CRLF and removes additional trailing line terminators
2002    at the end of a file. A bug in the canonicalisation process meant that
2003    some characters, such as form-feed, were incorrectly treated as whitespace
2004    and removed. This is contrary to the specification (RFC5485). This fix
2005    could mean that detached text data signed with an earlier version of
2006    OpenSSL 1.1.0 may fail to verify using the fixed version, or text data
2007    signed with a fixed OpenSSL may fail to verify with an earlier version of
2008    OpenSSL 1.1.0. A workaround is to only verify the canonicalised text data
2009    and use the "-binary" flag (for the "cms" command line application) or set
2010    the SMIME_BINARY/PKCS7_BINARY/CMS_BINARY flags (if using CMS_verify()).
2011
2012    *Matt Caswell*
2013
2014 ### Changes between 1.1.0g and 1.1.0h [27 Mar 2018] ###
2015
2016  * Constructed ASN.1 types with a recursive definition could exceed the stack
2017
2018    Constructed ASN.1 types with a recursive definition (such as can be found
2019    in PKCS7) could eventually exceed the stack given malicious input with
2020    excessive recursion. This could result in a Denial Of Service attack. There
2021    are no such structures used within SSL/TLS that come from untrusted sources
2022    so this is considered safe.
2023
2024    This issue was reported to OpenSSL on 4th January 2018 by the OSS-fuzz
2025    project.
2026    [CVE-2018-0739][]
2027
2028    *Matt Caswell*
2029
2030  * Incorrect CRYPTO_memcmp on HP-UX PA-RISC
2031
2032    Because of an implementation bug the PA-RISC CRYPTO_memcmp function is
2033    effectively reduced to only comparing the least significant bit of each
2034    byte. This allows an attacker to forge messages that would be considered as
2035    authenticated in an amount of tries lower than that guaranteed by the
2036    security claims of the scheme. The module can only be compiled by the
2037    HP-UX assembler, so that only HP-UX PA-RISC targets are affected.
2038
2039    This issue was reported to OpenSSL on 2nd March 2018 by Peter Waltenberg
2040    (IBM).
2041    [CVE-2018-0733][]
2042
2043    *Andy Polyakov*
2044
2045  * Add a build target 'build_all_generated', to build all generated files
2046    and only that.  This can be used to prepare everything that requires
2047    things like perl for a system that lacks perl and then move everything
2048    to that system and do the rest of the build there.
2049
2050    *Richard Levitte*
2051
2052  * Backport SSL_OP_NO_RENGOTIATION
2053
2054    OpenSSL 1.0.2 and below had the ability to disable renegotiation using the
2055    (undocumented) SSL3_FLAGS_NO_RENEGOTIATE_CIPHERS flag. Due to the opacity
2056    changes this is no longer possible in 1.1.0. Therefore the new
2057    SSL_OP_NO_RENEGOTIATION option from 1.1.1-dev has been backported to
2058    1.1.0 to provide equivalent functionality.
2059
2060    Note that if an application built against 1.1.0h headers (or above) is run
2061    using an older version of 1.1.0 (prior to 1.1.0h) then the option will be
2062    accepted but nothing will happen, i.e. renegotiation will not be prevented.
2063
2064    *Matt Caswell*
2065
2066  * Removed the OS390-Unix config target.  It relied on a script that doesn't
2067    exist.
2068
2069    *Rich Salz*
2070
2071  * rsaz_1024_mul_avx2 overflow bug on x86_64
2072
2073    There is an overflow bug in the AVX2 Montgomery multiplication procedure
2074    used in exponentiation with 1024-bit moduli. No EC algorithms are affected.
2075    Analysis suggests that attacks against RSA and DSA as a result of this
2076    defect would be very difficult to perform and are not believed likely.
2077    Attacks against DH1024 are considered just feasible, because most of the
2078    work necessary to deduce information about a private key may be performed
2079    offline. The amount of resources required for such an attack would be
2080    significant. However, for an attack on TLS to be meaningful, the server
2081    would have to share the DH1024 private key among multiple clients, which is
2082    no longer an option since CVE-2016-0701.
2083
2084    This only affects processors that support the AVX2 but not ADX extensions
2085    like Intel Haswell (4th generation).
2086
2087    This issue was reported to OpenSSL by David Benjamin (Google). The issue
2088    was originally found via the OSS-Fuzz project.
2089    [CVE-2017-3738][]
2090
2091    *Andy Polyakov*
2092
2093 ### Changes between 1.1.0f and 1.1.0g [2 Nov 2017] ###
2094
2095  * bn_sqrx8x_internal carry bug on x86_64
2096
2097    There is a carry propagating bug in the x86_64 Montgomery squaring
2098    procedure. No EC algorithms are affected. Analysis suggests that attacks
2099    against RSA and DSA as a result of this defect would be very difficult to
2100    perform and are not believed likely. Attacks against DH are considered just
2101    feasible (although very difficult) because most of the work necessary to
2102    deduce information about a private key may be performed offline. The amount
2103    of resources required for such an attack would be very significant and
2104    likely only accessible to a limited number of attackers. An attacker would
2105    additionally need online access to an unpatched system using the target
2106    private key in a scenario with persistent DH parameters and a private
2107    key that is shared between multiple clients.
2108
2109    This only affects processors that support the BMI1, BMI2 and ADX extensions
2110    like Intel Broadwell (5th generation) and later or AMD Ryzen.
2111
2112    This issue was reported to OpenSSL by the OSS-Fuzz project.
2113    [CVE-2017-3736][]
2114
2115    *Andy Polyakov*
2116
2117  * Malformed X.509 IPAddressFamily could cause OOB read
2118
2119    If an X.509 certificate has a malformed IPAddressFamily extension,
2120    OpenSSL could do a one-byte buffer overread. The most likely result
2121    would be an erroneous display of the certificate in text format.
2122
2123    This issue was reported to OpenSSL by the OSS-Fuzz project.
2124    [CVE-2017-3735][]
2125
2126    *Rich Salz*
2127
2128 ### Changes between 1.1.0e and 1.1.0f [25 May 2017] ###
2129
2130  * Have 'config' recognise 64-bit mingw and choose 'mingw64' as the target
2131    platform rather than 'mingw'.
2132
2133    *Richard Levitte*
2134
2135  * Remove the VMS-specific reimplementation of gmtime from crypto/o_times.c.
2136    VMS C's RTL has a fully up to date gmtime() and gmtime_r() since V7.1,
2137    which is the minimum version we support.
2138
2139    *Richard Levitte*
2140
2141 ### Changes between 1.1.0d and 1.1.0e [16 Feb 2017] ###
2142
2143  * Encrypt-Then-Mac renegotiation crash
2144
2145    During a renegotiation handshake if the Encrypt-Then-Mac extension is
2146    negotiated where it was not in the original handshake (or vice-versa) then
2147    this can cause OpenSSL to crash (dependant on ciphersuite). Both clients
2148    and servers are affected.
2149
2150    This issue was reported to OpenSSL by Joe Orton (Red Hat).
2151    [CVE-2017-3733][]
2152
2153    *Matt Caswell*
2154
2155 ### Changes between 1.1.0c and 1.1.0d [26 Jan 2017] ###
2156
2157  * Truncated packet could crash via OOB read
2158
2159    If one side of an SSL/TLS path is running on a 32-bit host and a specific
2160    cipher is being used, then a truncated packet can cause that host to
2161    perform an out-of-bounds read, usually resulting in a crash.
2162
2163    This issue was reported to OpenSSL by Robert Święcki of Google.
2164    [CVE-2017-3731][]
2165
2166    *Andy Polyakov*
2167
2168  * Bad (EC)DHE parameters cause a client crash
2169
2170    If a malicious server supplies bad parameters for a DHE or ECDHE key
2171    exchange then this can result in the client attempting to dereference a
2172    NULL pointer leading to a client crash. This could be exploited in a Denial
2173    of Service attack.
2174
2175    This issue was reported to OpenSSL by Guido Vranken.
2176    [CVE-2017-3730][]
2177
2178    *Matt Caswell*
2179
2180  * BN_mod_exp may produce incorrect results on x86_64
2181
2182    There is a carry propagating bug in the x86_64 Montgomery squaring
2183    procedure. No EC algorithms are affected. Analysis suggests that attacks
2184    against RSA and DSA as a result of this defect would be very difficult to
2185    perform and are not believed likely. Attacks against DH are considered just
2186    feasible (although very difficult) because most of the work necessary to
2187    deduce information about a private key may be performed offline. The amount
2188    of resources required for such an attack would be very significant and
2189    likely only accessible to a limited number of attackers. An attacker would
2190    additionally need online access to an unpatched system using the target
2191    private key in a scenario with persistent DH parameters and a private
2192    key that is shared between multiple clients. For example this can occur by
2193    default in OpenSSL DHE based SSL/TLS ciphersuites. Note: This issue is very
2194    similar to CVE-2015-3193 but must be treated as a separate problem.
2195
2196    This issue was reported to OpenSSL by the OSS-Fuzz project.
2197    [CVE-2017-3732][]
2198
2199    *Andy Polyakov*
2200
2201 ### Changes between 1.1.0b and 1.1.0c [10 Nov 2016] ###
2202
2203  * ChaCha20/Poly1305 heap-buffer-overflow
2204
2205    TLS connections using *-CHACHA20-POLY1305 ciphersuites are susceptible to
2206    a DoS attack by corrupting larger payloads. This can result in an OpenSSL
2207    crash. This issue is not considered to be exploitable beyond a DoS.
2208
2209    This issue was reported to OpenSSL by Robert Święcki (Google Security Team)
2210    [CVE-2016-7054][]
2211
2212    *Richard Levitte*
2213
2214  * CMS Null dereference
2215
2216    Applications parsing invalid CMS structures can crash with a NULL pointer
2217    dereference. This is caused by a bug in the handling of the ASN.1 CHOICE
2218    type in OpenSSL 1.1.0 which can result in a NULL value being passed to the
2219    structure callback if an attempt is made to free certain invalid encodings.
2220    Only CHOICE structures using a callback which do not handle NULL value are
2221    affected.
2222
2223    This issue was reported to OpenSSL by Tyler Nighswander of ForAllSecure.
2224    [CVE-2016-7053][]
2225
2226    *Stephen Henson*
2227
2228  * Montgomery multiplication may produce incorrect results
2229
2230    There is a carry propagating bug in the Broadwell-specific Montgomery
2231    multiplication procedure that handles input lengths divisible by, but
2232    longer than 256 bits. Analysis suggests that attacks against RSA, DSA
2233    and DH private keys are impossible. This is because the subroutine in
2234    question is not used in operations with the private key itself and an input
2235    of the attacker's direct choice. Otherwise the bug can manifest itself as
2236    transient authentication and key negotiation failures or reproducible
2237    erroneous outcome of public-key operations with specially crafted input.
2238    Among EC algorithms only Brainpool P-512 curves are affected and one
2239    presumably can attack ECDH key negotiation. Impact was not analyzed in
2240    detail, because pre-requisites for attack are considered unlikely. Namely
2241    multiple clients have to choose the curve in question and the server has to
2242    share the private key among them, neither of which is default behaviour.
2243    Even then only clients that chose the curve will be affected.
2244
2245    This issue was publicly reported as transient failures and was not
2246    initially recognized as a security issue. Thanks to Richard Morgan for
2247    providing reproducible case.
2248    [CVE-2016-7055][]
2249
2250    *Andy Polyakov*
2251
2252  * Removed automatic addition of RPATH in shared libraries and executables,
2253    as this was a remainder from OpenSSL 1.0.x and isn't needed any more.
2254
2255    *Richard Levitte*
2256
2257 ### Changes between 1.1.0a and 1.1.0b [26 Sep 2016] ###
2258
2259  * Fix Use After Free for large message sizes
2260
2261    The patch applied to address CVE-2016-6307 resulted in an issue where if a
2262    message larger than approx 16k is received then the underlying buffer to
2263    store the incoming message is reallocated and moved. Unfortunately a
2264    dangling pointer to the old location is left which results in an attempt to
2265    write to the previously freed location. This is likely to result in a
2266    crash, however it could potentially lead to execution of arbitrary code.
2267
2268    This issue only affects OpenSSL 1.1.0a.
2269
2270    This issue was reported to OpenSSL by Robert Święcki.
2271    [CVE-2016-6309][]
2272
2273    *Matt Caswell*
2274
2275 ### Changes between 1.1.0 and 1.1.0a [22 Sep 2016] ###
2276
2277  * OCSP Status Request extension unbounded memory growth
2278
2279    A malicious client can send an excessively large OCSP Status Request
2280    extension. If that client continually requests renegotiation, sending a
2281    large OCSP Status Request extension each time, then there will be unbounded
2282    memory growth on the server. This will eventually lead to a Denial Of
2283    Service attack through memory exhaustion. Servers with a default
2284    configuration are vulnerable even if they do not support OCSP. Builds using
2285    the "no-ocsp" build time option are not affected.
2286
2287    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
2288    [CVE-2016-6304][]
2289
2290    *Matt Caswell*
2291
2292  * SSL_peek() hang on empty record
2293
2294    OpenSSL 1.1.0 SSL/TLS will hang during a call to SSL_peek() if the peer
2295    sends an empty record. This could be exploited by a malicious peer in a
2296    Denial Of Service attack.
2297
2298    This issue was reported to OpenSSL by Alex Gaynor.
2299    [CVE-2016-6305][]
2300
2301    *Matt Caswell*
2302
2303  * Excessive allocation of memory in tls_get_message_header() and
2304    dtls1_preprocess_fragment()
2305
2306    A (D)TLS message includes 3 bytes for its length in the header for the
2307    message. This would allow for messages up to 16Mb in length. Messages of
2308    this length are excessive and OpenSSL includes a check to ensure that a
2309    peer is sending reasonably sized messages in order to avoid too much memory
2310    being consumed to service a connection. A flaw in the logic of version
2311    1.1.0 means that memory for the message is allocated too early, prior to
2312    the excessive message length check. Due to way memory is allocated in
2313    OpenSSL this could mean an attacker could force up to 21Mb to be allocated
2314    to service a connection. This could lead to a Denial of Service through
2315    memory exhaustion. However, the excessive message length check still takes
2316    place, and this would cause the connection to immediately fail. Assuming
2317    that the application calls SSL_free() on the failed connection in a timely
2318    manner then the 21Mb of allocated memory will then be immediately freed
2319    again. Therefore the excessive memory allocation will be transitory in
2320    nature. This then means that there is only a security impact if:
2321
2322    1) The application does not call SSL_free() in a timely manner in the event
2323    that the connection fails
2324    or
2325    2) The application is working in a constrained environment where there is
2326    very little free memory
2327    or
2328    3) The attacker initiates multiple connection attempts such that there are
2329    multiple connections in a state where memory has been allocated for the
2330    connection; SSL_free() has not yet been called; and there is insufficient
2331    memory to service the multiple requests.
2332
2333    Except in the instance of (1) above any Denial Of Service is likely to be
2334    transitory because as soon as the connection fails the memory is
2335    subsequently freed again in the SSL_free() call. However there is an
2336    increased risk during this period of application crashes due to the lack of
2337    memory - which would then mean a more serious Denial of Service.
2338
2339    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
2340    (CVE-2016-6307 and CVE-2016-6308)
2341
2342    *Matt Caswell*
2343
2344  * solaris-x86-cc, i.e. 32-bit configuration with vendor compiler,
2345    had to be removed. Primary reason is that vendor assembler can't
2346    assemble our modules with -KPIC flag. As result it, assembly
2347    support, was not even available as option. But its lack means
2348    lack of side-channel resistant code, which is incompatible with
2349    security by todays standards. Fortunately gcc is readily available
2350    prepackaged option, which we firmly point at...
2351
2352    *Andy Polyakov*
2353
2354 ### Changes between 1.0.2h and 1.1.0  [25 Aug 2016] ###
2355
2356  * Windows command-line tool supports UTF-8 opt-in option for arguments
2357    and console input. Setting OPENSSL_WIN32_UTF8 environment variable
2358    (to any value) allows Windows user to access PKCS#12 file generated
2359    with Windows CryptoAPI and protected with non-ASCII password, as well
2360    as files generated under UTF-8 locale on Linux also protected with
2361    non-ASCII password.
2362
2363    *Andy Polyakov*
2364
2365  * To mitigate the SWEET32 attack [CVE-2016-2183][], 3DES cipher suites
2366    have been disabled by default and removed from DEFAULT, just like RC4.
2367    See the RC4 item below to re-enable both.
2368
2369    *Rich Salz*
2370
2371  * The method for finding the storage location for the Windows RAND seed file
2372    has changed. First we check %RANDFILE%. If that is not set then we check
2373    the directories %HOME%, %USERPROFILE% and %SYSTEMROOT% in that order. If
2374    all else fails we fall back to C:\.
2375
2376    *Matt Caswell*
2377
2378  * The EVP_EncryptUpdate() function has had its return type changed from void
2379    to int. A return of 0 indicates and error while a return of 1 indicates
2380    success.
2381
2382    *Matt Caswell*
2383
2384  * The flags RSA_FLAG_NO_CONSTTIME, DSA_FLAG_NO_EXP_CONSTTIME and
2385    DH_FLAG_NO_EXP_CONSTTIME which previously provided the ability to switch
2386    off the constant time implementation for RSA, DSA and DH have been made
2387    no-ops and deprecated.
2388
2389    *Matt Caswell*
2390
2391  * Windows RAND implementation was simplified to only get entropy by
2392    calling CryptGenRandom(). Various other RAND-related tickets
2393    were also closed.
2394
2395    *Joseph Wylie Yandle, Rich Salz*
2396
2397  * The stack and lhash API's were renamed to start with OPENSSL_SK_
2398    and OPENSSL_LH_, respectively.  The old names are available
2399    with API compatibility.  They new names are now completely documented.
2400
2401    *Rich Salz*
2402
2403  * Unify TYPE_up_ref(obj) methods signature.
2404    SSL_CTX_up_ref(), SSL_up_ref(), X509_up_ref(), EVP_PKEY_up_ref(),
2405    X509_CRL_up_ref(), X509_OBJECT_up_ref_count() methods are now returning an
2406    int (instead of void) like all others TYPE_up_ref() methods.
2407    So now these methods also check the return value of CRYPTO_atomic_add(),
2408    and the validity of object reference counter.
2409
2410    *fdasilvayy@gmail.com*
2411
2412  * With Windows Visual Studio builds, the .pdb files are installed
2413    alongside the installed libraries and executables.  For a static
2414    library installation, ossl_static.pdb is the associate compiler
2415    generated .pdb file to be used when linking programs.
2416
2417    *Richard Levitte*
2418
2419  * Remove openssl.spec.  Packaging files belong with the packagers.
2420
2421    *Richard Levitte*
2422
2423  * Automatic Darwin/OSX configuration has had a refresh, it will now
2424    recognise x86_64 architectures automatically.  You can still decide
2425    to build for a different bitness with the environment variable
2426    KERNEL_BITS (can be 32 or 64), for example:
2427
2428            KERNEL_BITS=32 ./config
2429
2430    *Richard Levitte*
2431
2432  * Change default algorithms in pkcs8 utility to use PKCS#5 v2.0,
2433    256 bit AES and HMAC with SHA256.
2434
2435    *Steve Henson*
2436
2437  * Remove support for MIPS o32 ABI on IRIX (and IRIX only).
2438
2439    *Andy Polyakov*
2440
2441  * Triple-DES ciphers have been moved from HIGH to MEDIUM.
2442
2443    *Rich Salz*
2444
2445  * To enable users to have their own config files and build file templates,
2446    Configure looks in the directory indicated by the environment variable
2447    OPENSSL_LOCAL_CONFIG_DIR as well as the in-source Configurations/
2448    directory.  On VMS, OPENSSL_LOCAL_CONFIG_DIR is expected to be a logical
2449    name and is used as is.
2450
2451    *Richard Levitte*
2452
2453  * The following datatypes were made opaque: X509_OBJECT, X509_STORE_CTX,
2454    X509_STORE, X509_LOOKUP, and X509_LOOKUP_METHOD.  The unused type
2455    X509_CERT_FILE_CTX was removed.
2456
2457    *Rich Salz*
2458
2459  * "shared" builds are now the default. To create only static libraries use
2460    the "no-shared" Configure option.
2461
2462    *Matt Caswell*
2463
2464  * Remove the no-aes, no-hmac, no-rsa, no-sha and no-md5 Configure options.
2465    All of these option have not worked for some while and are fundamental
2466    algorithms.
2467
2468    *Matt Caswell*
2469
2470  * Make various cleanup routines no-ops and mark them as deprecated. Most
2471    global cleanup functions are no longer required because they are handled
2472    via auto-deinit (see OPENSSL_init_crypto and OPENSSL_init_ssl man pages).
2473    Explicitly de-initing can cause problems (e.g. where a library that uses
2474    OpenSSL de-inits, but an application is still using it). The affected
2475    functions are CONF_modules_free(), ENGINE_cleanup(), OBJ_cleanup(),
2476    EVP_cleanup(), BIO_sock_cleanup(), CRYPTO_cleanup_all_ex_data(),
2477    RAND_cleanup(), SSL_COMP_free_compression_methods(), ERR_free_strings() and
2478    COMP_zlib_cleanup().
2479
2480    *Matt Caswell*
2481
2482  * --strict-warnings no longer enables runtime debugging options
2483    such as REF_DEBUG. Instead, debug options are automatically
2484    enabled with '--debug' builds.
2485
2486    *Andy Polyakov, Emilia Käsper*
2487
2488  * Made DH and DH_METHOD opaque. The structures for managing DH objects
2489    have been moved out of the public header files. New functions for managing
2490    these have been added.
2491
2492    *Matt Caswell*
2493
2494  * Made RSA and RSA_METHOD opaque. The structures for managing RSA
2495    objects have been moved out of the public header files. New
2496    functions for managing these have been added.
2497
2498    *Richard Levitte*
2499
2500  * Made DSA and DSA_METHOD opaque. The structures for managing DSA objects
2501    have been moved out of the public header files. New functions for managing
2502    these have been added.
2503
2504    *Matt Caswell*
2505
2506  * Made BIO and BIO_METHOD opaque. The structures for managing BIOs have been
2507    moved out of the public header files. New functions for managing these
2508    have been added.
2509
2510    *Matt Caswell*
2511
2512  * Removed no-rijndael as a config option. Rijndael is an old name for AES.
2513
2514    *Matt Caswell*
2515
2516  * Removed the mk1mf build scripts.
2517
2518    *Richard Levitte*
2519
2520  * Headers are now wrapped, if necessary, with OPENSSL_NO_xxx, so
2521    it is always safe to #include a header now.
2522
2523    *Rich Salz*
2524
2525  * Removed the aged BC-32 config and all its supporting scripts
2526
2527    *Richard Levitte*
2528
2529  * Removed support for Ultrix, Netware, and OS/2.
2530
2531    *Rich Salz*
2532
2533  * Add support for HKDF.
2534
2535    *Alessandro Ghedini*
2536
2537  * Add support for blake2b and blake2s
2538
2539    *Bill Cox*
2540
2541  * Added support for "pipelining". Ciphers that have the
2542    EVP_CIPH_FLAG_PIPELINE flag set have a capability to process multiple
2543    encryptions/decryptions simultaneously. There are currently no built-in
2544    ciphers with this property but the expectation is that engines will be able
2545    to offer it to significantly improve throughput. Support has been extended
2546    into libssl so that multiple records for a single connection can be
2547    processed in one go (for >=TLS 1.1).
2548
2549    *Matt Caswell*
2550
2551  * Added the AFALG engine. This is an async capable engine which is able to
2552    offload work to the Linux kernel. In this initial version it only supports
2553    AES128-CBC. The kernel must be version 4.1.0 or greater.
2554
2555    *Catriona Lucey*
2556
2557  * OpenSSL now uses a new threading API. It is no longer necessary to
2558    set locking callbacks to use OpenSSL in a multi-threaded environment. There
2559    are two supported threading models: pthreads and windows threads. It is
2560    also possible to configure OpenSSL at compile time for "no-threads". The
2561    old threading API should no longer be used. The functions have been
2562    replaced with "no-op" compatibility macros.
2563
2564    *Alessandro Ghedini, Matt Caswell*
2565
2566  * Modify behavior of ALPN to invoke callback after SNI/servername
2567    callback, such that updates to the SSL_CTX affect ALPN.
2568
2569    *Todd Short*
2570
2571  * Add SSL_CIPHER queries for authentication and key-exchange.
2572
2573    *Todd Short*
2574
2575  * Changes to the DEFAULT cipherlist:
2576      - Prefer (EC)DHE handshakes over plain RSA.
2577      - Prefer AEAD ciphers over legacy ciphers.
2578      - Prefer ECDSA over RSA when both certificates are available.
2579      - Prefer TLSv1.2 ciphers/PRF.
2580      - Remove DSS, SEED, IDEA, CAMELLIA, and AES-CCM from the
2581        default cipherlist.
2582
2583    *Emilia Käsper*
2584
2585  * Change the ECC default curve list to be this, in order: x25519,
2586    secp256r1, secp521r1, secp384r1.
2587
2588    *Rich Salz*
2589
2590  * RC4 based libssl ciphersuites are now classed as "weak" ciphers and are
2591    disabled by default. They can be re-enabled using the
2592    enable-weak-ssl-ciphers option to Configure.
2593
2594    *Matt Caswell*
2595
2596  * If the server has ALPN configured, but supports no protocols that the
2597    client advertises, send a fatal "no_application_protocol" alert.
2598    This behaviour is SHALL in RFC 7301, though it isn't universally
2599    implemented by other servers.
2600
2601    *Emilia Käsper*
2602
2603  * Add X25519 support.
2604    Add ASN.1 and EVP_PKEY methods for X25519. This includes support
2605    for public and private key encoding using the format documented in
2606    draft-ietf-curdle-pkix-02. The corresponding EVP_PKEY method supports
2607    key generation and key derivation.
2608
2609    TLS support complies with draft-ietf-tls-rfc4492bis-08 and uses
2610    X25519(29).
2611
2612    *Steve Henson*
2613
2614  * Deprecate SRP_VBASE_get_by_user.
2615    SRP_VBASE_get_by_user had inconsistent memory management behaviour.
2616    In order to fix an unavoidable memory leak [CVE-2016-0798][],
2617    SRP_VBASE_get_by_user was changed to ignore the "fake user" SRP
2618    seed, even if the seed is configured.
2619
2620    Users should use SRP_VBASE_get1_by_user instead. Note that in
2621    SRP_VBASE_get1_by_user, caller must free the returned value. Note
2622    also that even though configuring the SRP seed attempts to hide
2623    invalid usernames by continuing the handshake with fake
2624    credentials, this behaviour is not constant time and no strong
2625    guarantees are made that the handshake is indistinguishable from
2626    that of a valid user.
2627
2628    *Emilia Käsper*
2629
2630  * Configuration change; it's now possible to build dynamic engines
2631    without having to build shared libraries and vice versa.  This
2632    only applies to the engines in engines/, those in crypto/engine/
2633    will always be built into libcrypto (i.e. "static").
2634
2635    Building dynamic engines is enabled by default; to disable, use
2636    the configuration option "disable-dynamic-engine".
2637
2638    The only requirements for building dynamic engines are the
2639    presence of the DSO module and building with position independent
2640    code, so they will also automatically be disabled if configuring
2641    with "disable-dso" or "disable-pic".
2642
2643    The macros OPENSSL_NO_STATIC_ENGINE and OPENSSL_NO_DYNAMIC_ENGINE
2644    are also taken away from openssl/opensslconf.h, as they are
2645    irrelevant.
2646
2647    *Richard Levitte*
2648
2649  * Configuration change; if there is a known flag to compile
2650    position independent code, it will always be applied on the
2651    libcrypto and libssl object files, and never on the application
2652    object files.  This means other libraries that use routines from
2653    libcrypto / libssl can be made into shared libraries regardless
2654    of how OpenSSL was configured.
2655
2656    If this isn't desirable, the configuration options "disable-pic"
2657    or "no-pic" can be used to disable the use of PIC.  This will
2658    also disable building shared libraries and dynamic engines.
2659
2660    *Richard Levitte*
2661
2662  * Removed JPAKE code.  It was experimental and has no wide use.
2663
2664    *Rich Salz*
2665
2666  * The INSTALL_PREFIX Makefile variable has been renamed to
2667    DESTDIR.  That makes for less confusion on what this variable
2668    is for.  Also, the configuration option --install_prefix is
2669    removed.
2670
2671    *Richard Levitte*
2672
2673  * Heartbeat for TLS has been removed and is disabled by default
2674    for DTLS; configure with enable-heartbeats.  Code that uses the
2675    old #define's might need to be updated.
2676
2677    *Emilia Käsper, Rich Salz*
2678
2679  * Rename REF_CHECK to REF_DEBUG.
2680
2681    *Rich Salz*
2682
2683  * New "unified" build system
2684
2685    The "unified" build system is aimed to be a common system for all
2686    platforms we support.  With it comes new support for VMS.
2687
2688    This system builds supports building in a different directory tree
2689    than the source tree.  It produces one Makefile (for unix family
2690    or lookalikes), or one descrip.mms (for VMS).
2691
2692    The source of information to make the Makefile / descrip.mms is
2693    small files called 'build.info', holding the necessary
2694    information for each directory with source to compile, and a
2695    template in Configurations, like unix-Makefile.tmpl or
2696    descrip.mms.tmpl.
2697
2698    With this change, the library names were also renamed on Windows
2699    and on VMS.  They now have names that are closer to the standard
2700    on Unix, and include the major version number, and in certain
2701    cases, the architecture they are built for.  See "Notes on shared
2702    libraries" in INSTALL.
2703
2704    We rely heavily on the perl module Text::Template.
2705
2706    *Richard Levitte*
2707
2708  * Added support for auto-initialisation and de-initialisation of the library.
2709    OpenSSL no longer requires explicit init or deinit routines to be called,
2710    except in certain circumstances. See the OPENSSL_init_crypto() and
2711    OPENSSL_init_ssl() man pages for further information.
2712
2713    *Matt Caswell*
2714
2715  * The arguments to the DTLSv1_listen function have changed. Specifically the
2716    "peer" argument is now expected to be a BIO_ADDR object.
2717
2718  * Rewrite of BIO networking library. The BIO library lacked consistent
2719    support of IPv6, and adding it required some more extensive
2720    modifications.  This introduces the BIO_ADDR and BIO_ADDRINFO types,
2721    which hold all types of addresses and chains of address information.
2722    It also introduces a new API, with functions like BIO_socket,
2723    BIO_connect, BIO_listen, BIO_lookup and a rewrite of BIO_accept.
2724    The source/sink BIOs BIO_s_connect, BIO_s_accept and BIO_s_datagram
2725    have been adapted accordingly.
2726
2727    *Richard Levitte*
2728
2729  * RSA_padding_check_PKCS1_type_1 now accepts inputs with and without
2730    the leading 0-byte.
2731
2732    *Emilia Käsper*
2733
2734  * CRIME protection: disable compression by default, even if OpenSSL is
2735    compiled with zlib enabled. Applications can still enable compression
2736    by calling SSL_CTX_clear_options(ctx, SSL_OP_NO_COMPRESSION), or by
2737    using the SSL_CONF library to configure compression.
2738
2739    *Emilia Käsper*
2740
2741  * The signature of the session callback configured with
2742    SSL_CTX_sess_set_get_cb was changed. The read-only input buffer
2743    was explicitly marked as 'const unsigned char*' instead of
2744    'unsigned char*'.
2745
2746    *Emilia Käsper*
2747
2748  * Always DPURIFY. Remove the use of uninitialized memory in the
2749    RNG, and other conditional uses of DPURIFY. This makes -DPURIFY a no-op.
2750
2751    *Emilia Käsper*
2752
2753  * Removed many obsolete configuration items, including
2754       DES_PTR, DES_RISC1, DES_RISC2, DES_INT
2755       MD2_CHAR, MD2_INT, MD2_LONG
2756       BF_PTR, BF_PTR2
2757       IDEA_SHORT, IDEA_LONG
2758       RC2_SHORT, RC2_LONG, RC4_LONG, RC4_CHUNK, RC4_INDEX
2759
2760    *Rich Salz, with advice from Andy Polyakov*
2761
2762  * Many BN internals have been moved to an internal header file.
2763
2764    *Rich Salz with help from Andy Polyakov*
2765
2766  * Configuration and writing out the results from it has changed.
2767    Files such as Makefile include/openssl/opensslconf.h and are now
2768    produced through general templates, such as Makefile.in and
2769    crypto/opensslconf.h.in and some help from the perl module
2770    Text::Template.
2771
2772    Also, the center of configuration information is no longer
2773    Makefile.  Instead, Configure produces a perl module in
2774    configdata.pm which holds most of the config data (in the hash
2775    table %config), the target data that comes from the target
2776    configuration in one of the Configurations/*.conf files (in
2777    %target).
2778
2779    *Richard Levitte*
2780
2781  * To clarify their intended purposes, the Configure options
2782    --prefix and --openssldir change their semantics, and become more
2783    straightforward and less interdependent.
2784
2785    --prefix shall be used exclusively to give the location INSTALLTOP
2786    where programs, scripts, libraries, include files and manuals are
2787    going to be installed.  The default is now /usr/local.
2788
2789    --openssldir shall be used exclusively to give the default
2790    location OPENSSLDIR where certificates, private keys, CRLs are
2791    managed.  This is also where the default openssl.cnf gets
2792    installed.
2793    If the directory given with this option is a relative path, the
2794    values of both the --prefix value and the --openssldir value will
2795    be combined to become OPENSSLDIR.
2796    The default for --openssldir is INSTALLTOP/ssl.
2797
2798    Anyone who uses --openssldir to specify where OpenSSL is to be
2799    installed MUST change to use --prefix instead.
2800
2801    *Richard Levitte*
2802
2803  * The GOST engine was out of date and therefore it has been removed. An up
2804    to date GOST engine is now being maintained in an external repository.
2805    See: https://wiki.openssl.org/index.php/Binaries. Libssl still retains
2806    support for GOST ciphersuites (these are only activated if a GOST engine
2807    is present).
2808
2809    *Matt Caswell*
2810
2811  * EGD is no longer supported by default; use enable-egd when
2812    configuring.
2813
2814    *Ben Kaduk and Rich Salz*
2815
2816  * The distribution now has Makefile.in files, which are used to
2817    create Makefile's when Configure is run.  *Configure must be run
2818    before trying to build now.*
2819
2820    *Rich Salz*
2821
2822  * The return value for SSL_CIPHER_description() for error conditions
2823    has changed.
2824
2825    *Rich Salz*
2826
2827  * Support for RFC6698/RFC7671 DANE TLSA peer authentication.
2828
2829    Obtaining and performing DNSSEC validation of TLSA records is
2830    the application's responsibility.  The application provides
2831    the TLSA records of its choice to OpenSSL, and these are then
2832    used to authenticate the peer.
2833
2834    The TLSA records need not even come from DNS.  They can, for
2835    example, be used to implement local end-entity certificate or
2836    trust-anchor "pinning", where the "pin" data takes the form
2837    of TLSA records, which can augment or replace verification
2838    based on the usual WebPKI public certification authorities.
2839
2840    *Viktor Dukhovni*
2841
2842  * Revert default OPENSSL_NO_DEPRECATED setting.  Instead OpenSSL
2843    continues to support deprecated interfaces in default builds.
2844    However, applications are strongly advised to compile their
2845    source files with -DOPENSSL_API_COMPAT=0x10100000L, which hides
2846    the declarations of all interfaces deprecated in 0.9.8, 1.0.0
2847    or the 1.1.0 releases.
2848
2849    In environments in which all applications have been ported to
2850    not use any deprecated interfaces OpenSSL's Configure script
2851    should be used with the --api=1.1.0 option to entirely remove
2852    support for the deprecated features from the library and
2853    unconditionally disable them in the installed headers.
2854    Essentially the same effect can be achieved with the "no-deprecated"
2855    argument to Configure, except that this will always restrict
2856    the build to just the latest API, rather than a fixed API
2857    version.
2858
2859    As applications are ported to future revisions of the API,
2860    they should update their compile-time OPENSSL_API_COMPAT define
2861    accordingly, but in most cases should be able to continue to
2862    compile with later releases.
2863
2864    The OPENSSL_API_COMPAT versions for 1.0.0, and 0.9.8 are
2865    0x10000000L and 0x00908000L, respectively.  However those
2866    versions did not support the OPENSSL_API_COMPAT feature, and
2867    so applications are not typically tested for explicit support
2868    of just the undeprecated features of either release.
2869
2870    *Viktor Dukhovni*
2871
2872  * Add support for setting the minimum and maximum supported protocol.
2873    It can bet set via the SSL_set_min_proto_version() and
2874    SSL_set_max_proto_version(), or via the SSL_CONF's MinProtocol and
2875    MaxProtocol.  It's recommended to use the new APIs to disable
2876    protocols instead of disabling individual protocols using
2877    SSL_set_options() or SSL_CONF's Protocol.  This change also
2878    removes support for disabling TLS 1.2 in the OpenSSL TLS
2879    client at compile time by defining OPENSSL_NO_TLS1_2_CLIENT.
2880
2881    *Kurt Roeckx*
2882
2883  * Support for ChaCha20 and Poly1305 added to libcrypto and libssl.
2884
2885    *Andy Polyakov*
2886
2887  * New EC_KEY_METHOD, this replaces the older ECDSA_METHOD and ECDH_METHOD
2888    and integrates ECDSA and ECDH functionality into EC. Implementations can
2889    now redirect key generation and no longer need to convert to or from
2890    ECDSA_SIG format.
2891
2892    Note: the ecdsa.h and ecdh.h headers are now no longer needed and just
2893    include the ec.h header file instead.
2894
2895    *Steve Henson*
2896
2897  * Remove support for all 40 and 56 bit ciphers.  This includes all the export
2898    ciphers who are no longer supported and drops support the ephemeral RSA key
2899    exchange. The LOW ciphers currently doesn't have any ciphers in it.
2900
2901    *Kurt Roeckx*
2902
2903  * Made EVP_MD_CTX, EVP_MD, EVP_CIPHER_CTX, EVP_CIPHER and HMAC_CTX
2904    opaque.  For HMAC_CTX, the following constructors and destructors
2905    were added:
2906
2907       HMAC_CTX *HMAC_CTX_new(void);
2908       void HMAC_CTX_free(HMAC_CTX *ctx);
2909
2910    For EVP_MD and EVP_CIPHER, complete APIs to create, fill and
2911    destroy such methods has been added.  See EVP_MD_meth_new(3) and
2912    EVP_CIPHER_meth_new(3) for documentation.
2913
2914    Additional changes:
2915    1) EVP_MD_CTX_cleanup(), EVP_CIPHER_CTX_cleanup() and
2916       HMAC_CTX_cleanup() were removed.  HMAC_CTX_reset() and
2917       EVP_MD_CTX_reset() should be called instead to reinitialise
2918       an already created structure.
2919    2) For consistency with the majority of our object creators and
2920       destructors, EVP_MD_CTX_(create|destroy) were renamed to
2921       EVP_MD_CTX_(new|free).  The old names are retained as macros
2922       for deprecated builds.
2923
2924    *Richard Levitte*
2925
2926  * Added ASYNC support. Libcrypto now includes the async sub-library to enable
2927    cryptographic operations to be performed asynchronously as long as an
2928    asynchronous capable engine is used. See the ASYNC_start_job() man page for
2929    further details. Libssl has also had this capability integrated with the
2930    introduction of the new mode SSL_MODE_ASYNC and associated error
2931    SSL_ERROR_WANT_ASYNC. See the SSL_CTX_set_mode() and SSL_get_error() man
2932    pages. This work was developed in partnership with Intel Corp.
2933
2934    *Matt Caswell*
2935
2936  * SSL_{CTX_}set_ecdh_auto() has been removed and ECDH is support is
2937    always enabled now.  If you want to disable the support you should
2938    exclude it using the list of supported ciphers. This also means that the
2939    "-no_ecdhe" option has been removed from s_server.
2940
2941    *Kurt Roeckx*
2942
2943  * SSL_{CTX}_set_tmp_ecdh() which can set 1 EC curve now internally calls
2944    SSL_{CTX_}set1_curves() which can set a list.
2945
2946    *Kurt Roeckx*
2947
2948  * Remove support for SSL_{CTX_}set_tmp_ecdh_callback().  You should set the
2949    curve you want to support using SSL_{CTX_}set1_curves().
2950
2951    *Kurt Roeckx*
2952
2953  * State machine rewrite. The state machine code has been significantly
2954    refactored in order to remove much duplication of code and solve issues
2955    with the old code (see ssl/statem/README for further details). This change
2956    does have some associated API changes. Notably the SSL_state() function
2957    has been removed and replaced by SSL_get_state which now returns an
2958    "OSSL_HANDSHAKE_STATE" instead of an int. SSL_set_state() has been removed
2959    altogether. The previous handshake states defined in ssl.h and ssl3.h have
2960    also been removed.
2961
2962    *Matt Caswell*
2963
2964  * All instances of the string "ssleay" in the public API were replaced
2965    with OpenSSL (case-matching; e.g., OPENSSL_VERSION for #define's)
2966    Some error codes related to internal RSA_eay API's were renamed.
2967
2968    *Rich Salz*
2969
2970  * The demo files in crypto/threads were moved to demo/threads.
2971
2972    *Rich Salz*
2973
2974  * Removed obsolete engines: 4758cca, aep, atalla, cswift, nuron, gmp,
2975    sureware and ubsec.
2976
2977    *Matt Caswell, Rich Salz*
2978
2979  * New ASN.1 embed macro.
2980
2981    New ASN.1 macro ASN1_EMBED. This is the same as ASN1_SIMPLE except the
2982    structure is not allocated: it is part of the parent. That is instead of
2983
2984            FOO *x;
2985
2986    it must be:
2987
2988            FOO x;
2989
2990    This reduces memory fragmentation and make it impossible to accidentally
2991    set a mandatory field to NULL.
2992
2993    This currently only works for some fields specifically a SEQUENCE, CHOICE,
2994    or ASN1_STRING type which is part of a parent SEQUENCE. Since it is
2995    equivalent to ASN1_SIMPLE it cannot be tagged, OPTIONAL, SET OF or
2996    SEQUENCE OF.
2997
2998    *Steve Henson*
2999
3000  * Remove EVP_CHECK_DES_KEY, a compile-time option that never compiled.
3001
3002    *Emilia Käsper*
3003
3004  * Removed DES and RC4 ciphersuites from DEFAULT. Also removed RC2 although
3005    in 1.0.2 EXPORT was already removed and the only RC2 ciphersuite is also
3006    an EXPORT one. COMPLEMENTOFDEFAULT has been updated accordingly to add
3007    DES and RC4 ciphersuites.
3008
3009    *Matt Caswell*
3010
3011  * Rewrite EVP_DecodeUpdate (base64 decoding) to fix several bugs.
3012    This changes the decoding behaviour for some invalid messages,
3013    though the change is mostly in the more lenient direction, and
3014    legacy behaviour is preserved as much as possible.
3015
3016    *Emilia Käsper*
3017
3018  * Fix no-stdio build.
3019    * David Woodhouse <David.Woodhouse@intel.com> and also
3020     Ivan Nestlerode <ivan.nestlerode@sonos.com> *
3021
3022  * New testing framework
3023    The testing framework has been largely rewritten and is now using
3024    perl and the perl modules Test::Harness and an extended variant of
3025    Test::More called OpenSSL::Test to do its work.  All test scripts in
3026    test/ have been rewritten into test recipes, and all direct calls to
3027    executables in test/Makefile have become individual recipes using the
3028    simplified testing OpenSSL::Test::Simple.
3029
3030    For documentation on our testing modules, do:
3031
3032            perldoc test/testlib/OpenSSL/Test/Simple.pm
3033            perldoc test/testlib/OpenSSL/Test.pm
3034
3035    *Richard Levitte*
3036
3037  * Revamped memory debug; only -DCRYPTO_MDEBUG and -DCRYPTO_MDEBUG_ABORT
3038    are used; the latter aborts on memory leaks (usually checked on exit).
3039    Some undocumented "set malloc, etc., hooks" functions were removed
3040    and others were changed.  All are now documented.
3041
3042    *Rich Salz*
3043
3044  * In DSA_generate_parameters_ex, if the provided seed is too short,
3045    return an error
3046
3047    *Rich Salz and Ismo Puustinen <ismo.puustinen@intel.com>*
3048
3049  * Rewrite PSK to support ECDHE_PSK, DHE_PSK and RSA_PSK. Add ciphersuites
3050    from RFC4279, RFC4785, RFC5487, RFC5489.
3051
3052    Thanks to Christian J. Dietrich and Giuseppe D'Angelo for the
3053    original RSA_PSK patch.
3054
3055    *Steve Henson*
3056
3057  * Dropped support for the SSL3_FLAGS_DELAY_CLIENT_FINISHED flag. This SSLeay
3058    era flag was never set throughout the codebase (only read). Also removed
3059    SSL3_FLAGS_POP_BUFFER which was only used if
3060    SSL3_FLAGS_DELAY_CLIENT_FINISHED was also set.
3061
3062    *Matt Caswell*
3063
3064  * Changed the default name options in the "ca", "crl", "req" and "x509"
3065    to be "oneline" instead of "compat".
3066
3067    *Richard Levitte*
3068
3069  * Remove SSL_OP_TLS_BLOCK_PADDING_BUG. This is SSLeay legacy, we're
3070    not aware of clients that still exhibit this bug, and the workaround
3071    hasn't been working properly for a while.
3072
3073    *Emilia Käsper*
3074
3075  * The return type of BIO_number_read() and BIO_number_written() as well as
3076    the corresponding num_read and num_write members in the BIO structure has
3077    changed from unsigned long to uint64_t. On platforms where an unsigned
3078    long is 32 bits (e.g. Windows) these counters could overflow if >4Gb is
3079    transferred.
3080
3081    *Matt Caswell*
3082
3083  * Given the pervasive nature of TLS extensions it is inadvisable to run
3084    OpenSSL without support for them. It also means that maintaining
3085    the OPENSSL_NO_TLSEXT option within the code is very invasive (and probably
3086    not well tested). Therefore the OPENSSL_NO_TLSEXT option has been removed.
3087
3088    *Matt Caswell*
3089
3090  * Removed support for the two export grade static DH ciphersuites
3091    EXP-DH-RSA-DES-CBC-SHA and EXP-DH-DSS-DES-CBC-SHA. These two ciphersuites
3092    were newly added (along with a number of other static DH ciphersuites) to
3093    1.0.2. However the two export ones have *never* worked since they were
3094    introduced. It seems strange in any case to be adding new export
3095    ciphersuites, and given "logjam" it also does not seem correct to fix them.
3096
3097    *Matt Caswell*
3098
3099  * Version negotiation has been rewritten. In particular SSLv23_method(),
3100    SSLv23_client_method() and SSLv23_server_method() have been deprecated,
3101    and turned into macros which simply call the new preferred function names
3102    TLS_method(), TLS_client_method() and TLS_server_method(). All new code
3103    should use the new names instead. Also as part of this change the ssl23.h
3104    header file has been removed.
3105
3106    *Matt Caswell*
3107
3108  * Support for Kerberos ciphersuites in TLS (RFC2712) has been removed. This
3109    code and the associated standard is no longer considered fit-for-purpose.
3110
3111    *Matt Caswell*
3112
3113  * RT2547 was closed.  When generating a private key, try to make the
3114    output file readable only by the owner.  This behavior change might
3115    be noticeable when interacting with other software.
3116
3117  * Documented all exdata functions.  Added CRYPTO_free_ex_index.
3118    Added a test.
3119
3120    *Rich Salz*
3121
3122  * Added HTTP GET support to the ocsp command.
3123
3124    *Rich Salz*
3125
3126  * Changed default digest for the dgst and enc commands from MD5 to
3127    sha256
3128
3129    *Rich Salz*
3130
3131  * RAND_pseudo_bytes has been deprecated. Users should use RAND_bytes instead.
3132
3133    *Matt Caswell*
3134
3135  * Added support for TLS extended master secret from
3136    draft-ietf-tls-session-hash-03.txt. Thanks for Alfredo Pironti for an
3137    initial patch which was a great help during development.
3138
3139    *Steve Henson*
3140
3141  * All libssl internal structures have been removed from the public header
3142    files, and the OPENSSL_NO_SSL_INTERN option has been removed (since it is
3143    now redundant). Users should not attempt to access internal structures
3144    directly. Instead they should use the provided API functions.
3145
3146    *Matt Caswell*
3147
3148  * config has been changed so that by default OPENSSL_NO_DEPRECATED is used.
3149    Access to deprecated functions can be re-enabled by running config with
3150    "enable-deprecated". In addition applications wishing to use deprecated
3151    functions must define OPENSSL_USE_DEPRECATED. Note that this new behaviour
3152    will, by default, disable some transitive includes that previously existed
3153    in the header files (e.g. ec.h will no longer, by default, include bn.h)
3154
3155    *Matt Caswell*
3156
3157  * Added support for OCB mode. OpenSSL has been granted a patent license
3158    compatible with the OpenSSL license for use of OCB. Details are available
3159    at https://www.openssl.org/source/OCB-patent-grant-OpenSSL.pdf. Support
3160    for OCB can be removed by calling config with no-ocb.
3161
3162    *Matt Caswell*
3163
3164  * SSLv2 support has been removed.  It still supports receiving a SSLv2
3165    compatible client hello.
3166
3167    *Kurt Roeckx*
3168
3169  * Increased the minimal RSA keysize from 256 to 512 bits [Rich Salz],
3170    done while fixing the error code for the key-too-small case.
3171
3172    *Annie Yousar <a.yousar@informatik.hu-berlin.de>*
3173
3174  * CA.sh has been removed; use CA.pl instead.
3175
3176    *Rich Salz*
3177
3178  * Removed old DES API.
3179
3180    *Rich Salz*
3181
3182  * Remove various unsupported platforms:
3183       Sony NEWS4
3184       BEOS and BEOS_R5
3185       NeXT
3186       SUNOS
3187       MPE/iX
3188       Sinix/ReliantUNIX RM400
3189       DGUX
3190       NCR
3191       Tandem
3192       Cray
3193       16-bit platforms such as WIN16
3194
3195    *Rich Salz*
3196
3197  * Clean up OPENSSL_NO_xxx #define's
3198     - Use setbuf() and remove OPENSSL_NO_SETVBUF_IONBF
3199     - Rename OPENSSL_SYSNAME_xxx to OPENSSL_SYS_xxx
3200     - OPENSSL_NO_EC{DH,DSA} merged into OPENSSL_NO_EC
3201     - OPENSSL_NO_RIPEMD160, OPENSSL_NO_RIPEMD merged into OPENSSL_NO_RMD160
3202     - OPENSSL_NO_FP_API merged into OPENSSL_NO_STDIO
3203     - Remove OPENSSL_NO_BIO OPENSSL_NO_BUFFER OPENSSL_NO_CHAIN_VERIFY
3204       OPENSSL_NO_EVP OPENSSL_NO_FIPS_ERR OPENSSL_NO_HASH_COMP
3205       OPENSSL_NO_LHASH OPENSSL_NO_OBJECT OPENSSL_NO_SPEED OPENSSL_NO_STACK
3206       OPENSSL_NO_X509 OPENSSL_NO_X509_VERIFY
3207     - Remove MS_STATIC; it's a relic from platforms <32 bits.
3208
3209    *Rich Salz*
3210
3211  * Cleaned up dead code
3212      Remove all but one '#ifdef undef' which is to be looked at.
3213
3214    *Rich Salz*
3215
3216  * Clean up calling of xxx_free routines.
3217       Just like free(), fix most of the xxx_free routines to accept
3218       NULL.  Remove the non-null checks from callers.  Save much code.
3219
3220    *Rich Salz*
3221
3222  * Add secure heap for storage of private keys (when possible).
3223    Add BIO_s_secmem(), CBIGNUM, etc.
3224    Contributed by Akamai Technologies under our Corporate CLA.
3225
3226    *Rich Salz*
3227
3228  * Experimental support for a new, fast, unbiased prime candidate generator,
3229    bn_probable_prime_dh_coprime(). Not currently used by any prime generator.
3230
3231    *Felix Laurie von Massenbach <felix@erbridge.co.uk>*
3232
3233  * New output format NSS in the sess_id command line tool. This allows
3234    exporting the session id and the master key in NSS keylog format.
3235
3236    *Martin Kaiser <martin@kaiser.cx>*
3237
3238  * Harmonize version and its documentation. -f flag is used to display
3239    compilation flags.
3240
3241    *mancha <mancha1@zoho.com>*
3242
3243  * Fix eckey_priv_encode so it immediately returns an error upon a failure
3244    in i2d_ECPrivateKey.  Thanks to Ted Unangst for feedback on this issue.
3245
3246    *mancha <mancha1@zoho.com>*
3247
3248  * Fix some double frees. These are not thought to be exploitable.
3249
3250    *mancha <mancha1@zoho.com>*
3251
3252  * A missing bounds check in the handling of the TLS heartbeat extension
3253    can be used to reveal up to 64k of memory to a connected client or
3254    server.
3255
3256    Thanks for Neel Mehta of Google Security for discovering this bug and to
3257    Adam Langley <agl@chromium.org> and Bodo Moeller <bmoeller@acm.org> for
3258    preparing the fix [CVE-2014-0160][]
3259
3260    *Adam Langley, Bodo Moeller*
3261
3262  * Fix for the attack described in the paper "Recovering OpenSSL
3263    ECDSA Nonces Using the FLUSH+RELOAD Cache Side-channel Attack"
3264    by Yuval Yarom and Naomi Benger. Details can be obtained from:
3265    http://eprint.iacr.org/2014/140
3266
3267    Thanks to Yuval Yarom and Naomi Benger for discovering this
3268    flaw and to Yuval Yarom for supplying a fix [CVE-2014-0076][]
3269
3270    *Yuval Yarom and Naomi Benger*
3271
3272  * Use algorithm specific chains in SSL_CTX_use_certificate_chain_file():
3273    this fixes a limitation in previous versions of OpenSSL.
3274
3275    *Steve Henson*
3276
3277  * Experimental encrypt-then-mac support.
3278
3279    Experimental support for encrypt then mac from
3280    draft-gutmann-tls-encrypt-then-mac-02.txt
3281
3282    To enable it set the appropriate extension number (0x42 for the test
3283    server) using e.g. -DTLSEXT_TYPE_encrypt_then_mac=0x42
3284
3285    For non-compliant peers (i.e. just about everything) this should have no
3286    effect.
3287
3288    WARNING: EXPERIMENTAL, SUBJECT TO CHANGE.
3289
3290
3291    *Steve Henson*
3292
3293  * Add EVP support for key wrapping algorithms, to avoid problems with
3294    existing code the flag EVP_CIPHER_CTX_WRAP_ALLOW has to be set in
3295    the EVP_CIPHER_CTX or an error is returned. Add AES and DES3 wrap
3296    algorithms and include tests cases.
3297
3298    *Steve Henson*
3299
3300  * Extend CMS code to support RSA-PSS signatures and RSA-OAEP for
3301    enveloped data.
3302
3303    *Steve Henson*
3304
3305  * Extended RSA OAEP support via EVP_PKEY API. Options to specify digest,
3306    MGF1 digest and OAEP label.
3307
3308    *Steve Henson*
3309
3310  * Make openssl verify return errors.
3311
3312    *Chris Palmer <palmer@google.com> and Ben Laurie*
3313
3314  * New function ASN1_TIME_diff to calculate the difference between two
3315    ASN1_TIME structures or one structure and the current time.
3316
3317    *Steve Henson*
3318
3319  * Update fips_test_suite to support multiple command line options. New
3320    test to induce all self test errors in sequence and check expected
3321    failures.
3322
3323    *Steve Henson*
3324
3325  * Add FIPS_{rsa,dsa,ecdsa}_{sign,verify} functions which digest and
3326    sign or verify all in one operation.
3327
3328    *Steve Henson*
3329
3330  * Add fips_algvs: a multicall fips utility incorporating all the algorithm
3331    test programs and fips_test_suite. Includes functionality to parse
3332    the minimal script output of fipsalgest.pl directly.
3333
3334    *Steve Henson*
3335
3336  * Add authorisation parameter to FIPS_module_mode_set().
3337
3338    *Steve Henson*
3339
3340  * Add FIPS selftest for ECDH algorithm using P-224 and B-233 curves.
3341
3342    *Steve Henson*
3343
3344  * Use separate DRBG fields for internal and external flags. New function
3345    FIPS_drbg_health_check() to perform on demand health checking. Add
3346    generation tests to fips_test_suite with reduced health check interval to
3347    demonstrate periodic health checking. Add "nodh" option to
3348    fips_test_suite to skip very slow DH test.
3349
3350    *Steve Henson*
3351
3352  * New function FIPS_get_cipherbynid() to lookup FIPS supported ciphers
3353    based on NID.
3354
3355    *Steve Henson*
3356
3357  * More extensive health check for DRBG checking many more failure modes.
3358    New function FIPS_selftest_drbg_all() to handle every possible DRBG
3359    combination: call this in fips_test_suite.
3360
3361    *Steve Henson*
3362
3363  * Add support for canonical generation of DSA parameter 'g'. See
3364    FIPS 186-3 A.2.3.
3365
3366  * Add support for HMAC DRBG from SP800-90. Update DRBG algorithm test and
3367    POST to handle HMAC cases.
3368
3369    *Steve Henson*
3370
3371  * Add functions FIPS_module_version() and FIPS_module_version_text()
3372    to return numerical and string versions of the FIPS module number.
3373
3374    *Steve Henson*
3375
3376  * Rename FIPS_mode_set and FIPS_mode to FIPS_module_mode_set and
3377    FIPS_module_mode. FIPS_mode and FIPS_mode_set will be implemented
3378    outside the validated module in the FIPS capable OpenSSL.
3379
3380    *Steve Henson*
3381
3382  * Minor change to DRBG entropy callback semantics. In some cases
3383    there is no multiple of the block length between min_len and
3384    max_len. Allow the callback to return more than max_len bytes
3385    of entropy but discard any extra: it is the callback's responsibility
3386    to ensure that the extra data discarded does not impact the
3387    requested amount of entropy.
3388
3389    *Steve Henson*
3390
3391  * Add PRNG security strength checks to RSA, DSA and ECDSA using
3392    information in FIPS186-3, SP800-57 and SP800-131A.
3393
3394    *Steve Henson*
3395
3396  * CCM support via EVP. Interface is very similar to GCM case except we
3397    must supply all data in one chunk (i.e. no update, final) and the
3398    message length must be supplied if AAD is used. Add algorithm test
3399    support.
3400
3401    *Steve Henson*
3402
3403  * Initial version of POST overhaul. Add POST callback to allow the status
3404    of POST to be monitored and/or failures induced. Modify fips_test_suite
3405    to use callback. Always run all selftests even if one fails.
3406
3407    *Steve Henson*
3408
3409  * XTS support including algorithm test driver in the fips_gcmtest program.
3410    Note: this does increase the maximum key length from 32 to 64 bytes but
3411    there should be no binary compatibility issues as existing applications
3412    will never use XTS mode.
3413
3414    *Steve Henson*
3415
3416  * Extensive reorganisation of FIPS PRNG behaviour. Remove all dependencies
3417    to OpenSSL RAND code and replace with a tiny FIPS RAND API which also
3418    performs algorithm blocking for unapproved PRNG types. Also do not
3419    set PRNG type in FIPS_mode_set(): leave this to the application.
3420    Add default OpenSSL DRBG handling: sets up FIPS PRNG and seeds with
3421    the standard OpenSSL PRNG: set additional data to a date time vector.
3422
3423    *Steve Henson*
3424
3425  * Rename old X9.31 PRNG functions of the form FIPS_rand* to FIPS_x931*.
3426    This shouldn't present any incompatibility problems because applications
3427    shouldn't be using these directly and any that are will need to rethink
3428    anyway as the X9.31 PRNG is now deprecated by FIPS 140-2
3429
3430    *Steve Henson*
3431
3432  * Extensive self tests and health checking required by SP800-90 DRBG.
3433    Remove strength parameter from FIPS_drbg_instantiate and always
3434    instantiate at maximum supported strength.
3435
3436    *Steve Henson*
3437
3438  * Add ECDH code to fips module and fips_ecdhvs for primitives only testing.
3439
3440    *Steve Henson*
3441
3442  * New algorithm test program fips_dhvs to handle DH primitives only testing.
3443
3444    *Steve Henson*
3445
3446  * New function DH_compute_key_padded() to compute a DH key and pad with
3447    leading zeroes if needed: this complies with SP800-56A et al.
3448
3449    *Steve Henson*
3450
3451  * Initial implementation of SP800-90 DRBGs for Hash and CTR. Not used by
3452    anything, incomplete, subject to change and largely untested at present.
3453
3454    *Steve Henson*
3455
3456  * Modify fipscanisteronly build option to only build the necessary object
3457    files by filtering FIPS_EX_OBJ through a perl script in crypto/Makefile.
3458
3459    *Steve Henson*
3460
3461  * Add experimental option FIPSSYMS to give all symbols in
3462    fipscanister.o and FIPS or fips prefix. This will avoid
3463    conflicts with future versions of OpenSSL. Add perl script
3464    util/fipsas.pl to preprocess assembly language source files
3465    and rename any affected symbols.
3466
3467    *Steve Henson*
3468
3469  * Add selftest checks and algorithm block of non-fips algorithms in
3470    FIPS mode. Remove DES2 from selftests.
3471
3472    *Steve Henson*
3473
3474  * Add ECDSA code to fips module. Add tiny fips_ecdsa_check to just
3475    return internal method without any ENGINE dependencies. Add new
3476    tiny fips sign and verify functions.
3477
3478    *Steve Henson*
3479
3480  * New build option no-ec2m to disable characteristic 2 code.
3481
3482    *Steve Henson*
3483
3484  * New build option "fipscanisteronly". This only builds fipscanister.o
3485    and (currently) associated fips utilities. Uses the file Makefile.fips
3486    instead of Makefile.org as the prototype.
3487
3488    *Steve Henson*
3489
3490  * Add some FIPS mode restrictions to GCM. Add internal IV generator.
3491    Update fips_gcmtest to use IV generator.
3492
3493    *Steve Henson*
3494
3495  * Initial, experimental EVP support for AES-GCM. AAD can be input by
3496    setting output buffer to NULL. The *Final function must be
3497    called although it will not retrieve any additional data. The tag
3498    can be set or retrieved with a ctrl. The IV length is by default 12
3499    bytes (96 bits) but can be set to an alternative value. If the IV
3500    length exceeds the maximum IV length (currently 16 bytes) it cannot be
3501    set before the key.
3502
3503    *Steve Henson*
3504
3505  * New flag in ciphers: EVP_CIPH_FLAG_CUSTOM_CIPHER. This means the
3506    underlying do_cipher function handles all cipher semantics itself
3507    including padding and finalisation. This is useful if (for example)
3508    an ENGINE cipher handles block padding itself. The behaviour of
3509    do_cipher is subtly changed if this flag is set: the return value
3510    is the number of characters written to the output buffer (zero is
3511    no longer an error code) or a negative error code. Also if the
3512    input buffer is NULL and length 0 finalisation should be performed.
3513
3514    *Steve Henson*
3515
3516  * If a candidate issuer certificate is already part of the constructed
3517    path ignore it: new debug notification X509_V_ERR_PATH_LOOP for this case.
3518
3519    *Steve Henson*
3520
3521  * Improve forward-security support: add functions
3522
3523            void SSL_CTX_set_not_resumable_session_callback(
3524                     SSL_CTX *ctx, int (*cb)(SSL *ssl, int is_forward_secure))
3525            void SSL_set_not_resumable_session_callback(
3526                     SSL *ssl, int (*cb)(SSL *ssl, int is_forward_secure))
3527
3528    for use by SSL/TLS servers; the callback function will be called whenever a
3529    new session is created, and gets to decide whether the session may be
3530    cached to make it resumable (return 0) or not (return 1).  (As by the
3531    SSL/TLS protocol specifications, the session_id sent by the server will be
3532    empty to indicate that the session is not resumable; also, the server will
3533    not generate RFC 4507 (RFC 5077) session tickets.)
3534
3535    A simple reasonable callback implementation is to return is_forward_secure.
3536    This parameter will be set to 1 or 0 depending on the ciphersuite selected
3537    by the SSL/TLS server library, indicating whether it can provide forward
3538    security.
3539
3540    *Emilia Käsper <emilia.kasper@esat.kuleuven.be> (Google)*
3541
3542  * New -verify_name option in command line utilities to set verification
3543    parameters by name.
3544
3545    *Steve Henson*
3546
3547  * Initial CMAC implementation. WARNING: EXPERIMENTAL, API MAY CHANGE.
3548    Add CMAC pkey methods.
3549
3550    *Steve Henson*
3551
3552  * Experimental renegotiation in s_server -www mode. If the client
3553    browses /reneg connection is renegotiated. If /renegcert it is
3554    renegotiated requesting a certificate.
3555
3556    *Steve Henson*
3557
3558  * Add an "external" session cache for debugging purposes to s_server. This
3559    should help trace issues which normally are only apparent in deployed
3560    multi-process servers.
3561
3562    *Steve Henson*
3563
3564  * Extensive audit of libcrypto with DEBUG_UNUSED. Fix many cases where
3565    return value is ignored. NB. The functions RAND_add(), RAND_seed(),
3566    BIO_set_cipher() and some obscure PEM functions were changed so they
3567    can now return an error. The RAND changes required a change to the
3568    RAND_METHOD structure.
3569
3570    *Steve Henson*
3571
3572  * New macro `__owur` for "OpenSSL Warn Unused Result". This makes use of
3573    a gcc attribute to warn if the result of a function is ignored. This
3574    is enable if DEBUG_UNUSED is set. Add to several functions in evp.h
3575    whose return value is often ignored.
3576
3577    *Steve Henson*
3578
3579  * New -noct, -requestct, -requirect and -ctlogfile options for s_client.
3580    These allow SCTs (signed certificate timestamps) to be requested and
3581    validated when establishing a connection.
3582
3583    *Rob Percival <robpercival@google.com>*
3584
3585 OpenSSL 1.0.2
3586 -------------
3587
3588 ### Changes between 1.0.2s and 1.0.2t [10 Sep 2019] ###
3589
3590  * For built-in EC curves, ensure an EC_GROUP built from the curve name is
3591    used even when parsing explicit parameters, when loading a serialized key
3592    or calling `EC_GROUP_new_from_ecpkparameters()`/
3593    `EC_GROUP_new_from_ecparameters()`.
3594    This prevents bypass of security hardening and performance gains,
3595    especially for curves with specialized EC_METHODs.
3596    By default, if a key encoded with explicit parameters is loaded and later
3597    serialized, the output is still encoded with explicit parameters, even if
3598    internally a "named" EC_GROUP is used for computation.
3599
3600    *Nicola Tuveri*
3601
3602  * Compute ECC cofactors if not provided during EC_GROUP construction. Before
3603    this change, EC_GROUP_set_generator would accept order and/or cofactor as
3604    NULL. After this change, only the cofactor parameter can be NULL. It also
3605    does some minimal sanity checks on the passed order.
3606    [CVE-2019-1547][]
3607
3608    *Billy Bob Brumley*
3609
3610  * Fixed a padding oracle in PKCS7_dataDecode and CMS_decrypt_set1_pkey.
3611    An attack is simple, if the first CMS_recipientInfo is valid but the
3612    second CMS_recipientInfo is chosen ciphertext. If the second
3613    recipientInfo decodes to PKCS #1 v1.5 form plaintext, the correct
3614    encryption key will be replaced by garbage, and the message cannot be
3615    decoded, but if the RSA decryption fails, the correct encryption key is
3616    used and the recipient will not notice the attack.
3617    As a work around for this potential attack the length of the decrypted
3618    key must be equal to the cipher default key length, in case the
3619    certifiate is not given and all recipientInfo are tried out.
3620    The old behaviour can be re-enabled in the CMS code by setting the
3621    CMS_DEBUG_DECRYPT flag.
3622    [CVE-2019-1563][]
3623
3624    *Bernd Edlinger*
3625
3626  * Document issue with installation paths in diverse Windows builds
3627
3628    '/usr/local/ssl' is an unsafe prefix for location to install OpenSSL
3629    binaries and run-time config file.
3630    [CVE-2019-1552][]
3631
3632    *Richard Levitte*
3633
3634 ### Changes between 1.0.2r and 1.0.2s [28 May 2019] ###
3635
3636  * Change the default RSA, DSA and DH size to 2048 bit instead of 1024.
3637    This changes the size when using the genpkey app when no size is given. It
3638    fixes an omission in earlier changes that changed all RSA, DSA and DH
3639    generation apps to use 2048 bits by default.
3640
3641    *Kurt Roeckx*
3642
3643  * Add FIPS support for Android Arm 64-bit
3644
3645    Support for Android Arm 64-bit was added to the OpenSSL FIPS Object
3646    Module in Version 2.0.10. For some reason, the corresponding target
3647    'android64-aarch64' was missing OpenSSL 1.0.2, whence it could not be
3648    built with FIPS support on Android Arm 64-bit. This omission has been
3649    fixed.
3650
3651    *Matthias St. Pierre*
3652
3653 ### Changes between 1.0.2q and 1.0.2r [26 Feb 2019] ###
3654
3655  * 0-byte record padding oracle
3656
3657    If an application encounters a fatal protocol error and then calls
3658    SSL_shutdown() twice (once to send a close_notify, and once to receive one)
3659    then OpenSSL can respond differently to the calling application if a 0 byte
3660    record is received with invalid padding compared to if a 0 byte record is
3661    received with an invalid MAC. If the application then behaves differently
3662    based on that in a way that is detectable to the remote peer, then this
3663    amounts to a padding oracle that could be used to decrypt data.
3664
3665    In order for this to be exploitable "non-stitched" ciphersuites must be in
3666    use. Stitched ciphersuites are optimised implementations of certain
3667    commonly used ciphersuites. Also the application must call SSL_shutdown()
3668    twice even if a protocol error has occurred (applications should not do
3669    this but some do anyway).
3670
3671    This issue was discovered by Juraj Somorovsky, Robert Merget and Nimrod
3672    Aviram, with additional investigation by Steven Collison and Andrew
3673    Hourselt. It was reported to OpenSSL on 10th December 2018.
3674    [CVE-2019-1559][]
3675
3676    *Matt Caswell*
3677
3678  * Move strictness check from EVP_PKEY_asn1_new() to EVP_PKEY_asn1_add0().
3679
3680    *Richard Levitte*
3681
3682 ### Changes between 1.0.2p and 1.0.2q [20 Nov 2018] ###
3683
3684  * Microarchitecture timing vulnerability in ECC scalar multiplication
3685
3686    OpenSSL ECC scalar multiplication, used in e.g. ECDSA and ECDH, has been
3687    shown to be vulnerable to a microarchitecture timing side channel attack.
3688    An attacker with sufficient access to mount local timing attacks during
3689    ECDSA signature generation could recover the private key.
3690
3691    This issue was reported to OpenSSL on 26th October 2018 by Alejandro
3692    Cabrera Aldaya, Billy Brumley, Sohaib ul Hassan, Cesar Pereida Garcia and
3693    Nicola Tuveri.
3694    [CVE-2018-5407][]
3695
3696    *Billy Brumley*
3697
3698  * Timing vulnerability in DSA signature generation
3699
3700    The OpenSSL DSA signature algorithm has been shown to be vulnerable to a
3701    timing side channel attack. An attacker could use variations in the signing
3702    algorithm to recover the private key.
3703
3704    This issue was reported to OpenSSL on 16th October 2018 by Samuel Weiser.
3705    [CVE-2018-0734][]
3706
3707    *Paul Dale*
3708
3709  * Resolve a compatibility issue in EC_GROUP handling with the FIPS Object
3710    Module, accidentally introduced while backporting security fixes from the
3711    development branch and hindering the use of ECC in FIPS mode.
3712
3713    *Nicola Tuveri*
3714
3715 ### Changes between 1.0.2o and 1.0.2p [14 Aug 2018] ###
3716
3717  * Client DoS due to large DH parameter
3718
3719    During key agreement in a TLS handshake using a DH(E) based ciphersuite a
3720    malicious server can send a very large prime value to the client. This will
3721    cause the client to spend an unreasonably long period of time generating a
3722    key for this prime resulting in a hang until the client has finished. This
3723    could be exploited in a Denial Of Service attack.
3724
3725    This issue was reported to OpenSSL on 5th June 2018 by Guido Vranken
3726    [CVE-2018-0732][]
3727
3728    *Guido Vranken*
3729
3730  * Cache timing vulnerability in RSA Key Generation
3731
3732    The OpenSSL RSA Key generation algorithm has been shown to be vulnerable to
3733    a cache timing side channel attack. An attacker with sufficient access to
3734    mount cache timing attacks during the RSA key generation process could
3735    recover the private key.
3736
3737    This issue was reported to OpenSSL on 4th April 2018 by Alejandro Cabrera
3738    Aldaya, Billy Brumley, Cesar Pereida Garcia and Luis Manuel Alvarez Tapia.
3739    [CVE-2018-0737][]
3740
3741    *Billy Brumley*
3742
3743  * Make EVP_PKEY_asn1_new() a bit stricter about its input.  A NULL pem_str
3744    parameter is no longer accepted, as it leads to a corrupt table.  NULL
3745    pem_str is reserved for alias entries only.
3746
3747    *Richard Levitte*
3748
3749  * Revert blinding in ECDSA sign and instead make problematic addition
3750    length-invariant. Switch even to fixed-length Montgomery multiplication.
3751
3752    *Andy Polyakov*
3753
3754  * Change generating and checking of primes so that the error rate of not
3755    being prime depends on the intended use based on the size of the input.
3756    For larger primes this will result in more rounds of Miller-Rabin.
3757    The maximal error rate for primes with more than 1080 bits is lowered
3758    to 2^-128.
3759
3760    *Kurt Roeckx, Annie Yousar*
3761
3762  * Increase the number of Miller-Rabin rounds for DSA key generating to 64.
3763
3764    *Kurt Roeckx*
3765
3766  * Add blinding to ECDSA and DSA signatures to protect against side channel
3767    attacks discovered by Keegan Ryan (NCC Group).
3768
3769    *Matt Caswell*
3770
3771  * When unlocking a pass phrase protected PEM file or PKCS#8 container, we
3772    now allow empty (zero character) pass phrases.
3773
3774    *Richard Levitte*
3775
3776  * Certificate time validation (X509_cmp_time) enforces stricter
3777    compliance with RFC 5280. Fractional seconds and timezone offsets
3778    are no longer allowed.
3779
3780    *Emilia Käsper*
3781
3782 ### Changes between 1.0.2n and 1.0.2o [27 Mar 2018] ###
3783
3784  * Constructed ASN.1 types with a recursive definition could exceed the stack
3785
3786    Constructed ASN.1 types with a recursive definition (such as can be found
3787    in PKCS7) could eventually exceed the stack given malicious input with
3788    excessive recursion. This could result in a Denial Of Service attack. There
3789    are no such structures used within SSL/TLS that come from untrusted sources
3790    so this is considered safe.
3791
3792    This issue was reported to OpenSSL on 4th January 2018 by the OSS-fuzz
3793    project.
3794    [CVE-2018-0739][]
3795
3796    *Matt Caswell*
3797
3798 ### Changes between 1.0.2m and 1.0.2n [7 Dec 2017] ###
3799
3800  * Read/write after SSL object in error state
3801
3802    OpenSSL 1.0.2 (starting from version 1.0.2b) introduced an "error state"
3803    mechanism. The intent was that if a fatal error occurred during a handshake
3804    then OpenSSL would move into the error state and would immediately fail if
3805    you attempted to continue the handshake. This works as designed for the
3806    explicit handshake functions (SSL_do_handshake(), SSL_accept() and
3807    SSL_connect()), however due to a bug it does not work correctly if
3808    SSL_read() or SSL_write() is called directly. In that scenario, if the
3809    handshake fails then a fatal error will be returned in the initial function
3810    call. If SSL_read()/SSL_write() is subsequently called by the application
3811    for the same SSL object then it will succeed and the data is passed without
3812    being decrypted/encrypted directly from the SSL/TLS record layer.
3813
3814    In order to exploit this issue an application bug would have to be present
3815    that resulted in a call to SSL_read()/SSL_write() being issued after having
3816    already received a fatal error.
3817
3818    This issue was reported to OpenSSL by David Benjamin (Google).
3819    [CVE-2017-3737][]
3820
3821    *Matt Caswell*
3822
3823  * rsaz_1024_mul_avx2 overflow bug on x86_64
3824
3825    There is an overflow bug in the AVX2 Montgomery multiplication procedure
3826    used in exponentiation with 1024-bit moduli. No EC algorithms are affected.
3827    Analysis suggests that attacks against RSA and DSA as a result of this
3828    defect would be very difficult to perform and are not believed likely.
3829    Attacks against DH1024 are considered just feasible, because most of the
3830    work necessary to deduce information about a private key may be performed
3831    offline. The amount of resources required for such an attack would be
3832    significant. However, for an attack on TLS to be meaningful, the server
3833    would have to share the DH1024 private key among multiple clients, which is
3834    no longer an option since CVE-2016-0701.
3835
3836    This only affects processors that support the AVX2 but not ADX extensions
3837    like Intel Haswell (4th generation).
3838
3839    This issue was reported to OpenSSL by David Benjamin (Google). The issue
3840    was originally found via the OSS-Fuzz project.
3841    [CVE-2017-3738][]
3842
3843    *Andy Polyakov*
3844
3845 ### Changes between 1.0.2l and 1.0.2m [2 Nov 2017] ###
3846
3847  * bn_sqrx8x_internal carry bug on x86_64
3848
3849    There is a carry propagating bug in the x86_64 Montgomery squaring
3850    procedure. No EC algorithms are affected. Analysis suggests that attacks
3851    against RSA and DSA as a result of this defect would be very difficult to
3852    perform and are not believed likely. Attacks against DH are considered just
3853    feasible (although very difficult) because most of the work necessary to
3854    deduce information about a private key may be performed offline. The amount
3855    of resources required for such an attack would be very significant and
3856    likely only accessible to a limited number of attackers. An attacker would
3857    additionally need online access to an unpatched system using the target
3858    private key in a scenario with persistent DH parameters and a private
3859    key that is shared between multiple clients.
3860
3861    This only affects processors that support the BMI1, BMI2 and ADX extensions
3862    like Intel Broadwell (5th generation) and later or AMD Ryzen.
3863
3864    This issue was reported to OpenSSL by the OSS-Fuzz project.
3865    [CVE-2017-3736][]
3866
3867    *Andy Polyakov*
3868
3869  * Malformed X.509 IPAddressFamily could cause OOB read
3870
3871    If an X.509 certificate has a malformed IPAddressFamily extension,
3872    OpenSSL could do a one-byte buffer overread. The most likely result
3873    would be an erroneous display of the certificate in text format.
3874
3875    This issue was reported to OpenSSL by the OSS-Fuzz project.
3876    [CVE-2017-3735][]
3877
3878    *Rich Salz*
3879
3880 ### Changes between 1.0.2k and 1.0.2l [25 May 2017] ###
3881
3882  * Have 'config' recognise 64-bit mingw and choose 'mingw64' as the target
3883    platform rather than 'mingw'.
3884
3885    *Richard Levitte*
3886
3887 ### Changes between 1.0.2j and 1.0.2k [26 Jan 2017] ###
3888
3889  * Truncated packet could crash via OOB read
3890
3891    If one side of an SSL/TLS path is running on a 32-bit host and a specific
3892    cipher is being used, then a truncated packet can cause that host to
3893    perform an out-of-bounds read, usually resulting in a crash.
3894
3895    This issue was reported to OpenSSL by Robert Święcki of Google.
3896    [CVE-2017-3731][]
3897
3898    *Andy Polyakov*
3899
3900  * BN_mod_exp may produce incorrect results on x86_64
3901
3902    There is a carry propagating bug in the x86_64 Montgomery squaring
3903    procedure. No EC algorithms are affected. Analysis suggests that attacks
3904    against RSA and DSA as a result of this defect would be very difficult to
3905    perform and are not believed likely. Attacks against DH are considered just
3906    feasible (although very difficult) because most of the work necessary to
3907    deduce information about a private key may be performed offline. The amount
3908    of resources required for such an attack would be very significant and
3909    likely only accessible to a limited number of attackers. An attacker would
3910    additionally need online access to an unpatched system using the target
3911    private key in a scenario with persistent DH parameters and a private
3912    key that is shared between multiple clients. For example this can occur by
3913    default in OpenSSL DHE based SSL/TLS ciphersuites. Note: This issue is very
3914    similar to CVE-2015-3193 but must be treated as a separate problem.
3915
3916    This issue was reported to OpenSSL by the OSS-Fuzz project.
3917    [CVE-2017-3732][]
3918
3919    *Andy Polyakov*
3920
3921  * Montgomery multiplication may produce incorrect results
3922
3923    There is a carry propagating bug in the Broadwell-specific Montgomery
3924    multiplication procedure that handles input lengths divisible by, but
3925    longer than 256 bits. Analysis suggests that attacks against RSA, DSA
3926    and DH private keys are impossible. This is because the subroutine in
3927    question is not used in operations with the private key itself and an input
3928    of the attacker's direct choice. Otherwise the bug can manifest itself as
3929    transient authentication and key negotiation failures or reproducible
3930    erroneous outcome of public-key operations with specially crafted input.
3931    Among EC algorithms only Brainpool P-512 curves are affected and one
3932    presumably can attack ECDH key negotiation. Impact was not analyzed in
3933    detail, because pre-requisites for attack are considered unlikely. Namely
3934    multiple clients have to choose the curve in question and the server has to
3935    share the private key among them, neither of which is default behaviour.
3936    Even then only clients that chose the curve will be affected.
3937
3938    This issue was publicly reported as transient failures and was not
3939    initially recognized as a security issue. Thanks to Richard Morgan for
3940    providing reproducible case.
3941    [CVE-2016-7055][]
3942
3943    *Andy Polyakov*
3944
3945  * OpenSSL now fails if it receives an unrecognised record type in TLS1.0
3946    or TLS1.1. Previously this only happened in SSLv3 and TLS1.2. This is to
3947    prevent issues where no progress is being made and the peer continually
3948    sends unrecognised record types, using up resources processing them.
3949
3950    *Matt Caswell*
3951
3952 ### Changes between 1.0.2i and 1.0.2j [26 Sep 2016] ###
3953
3954  * Missing CRL sanity check
3955
3956    A bug fix which included a CRL sanity check was added to OpenSSL 1.1.0
3957    but was omitted from OpenSSL 1.0.2i. As a result any attempt to use
3958    CRLs in OpenSSL 1.0.2i will crash with a null pointer exception.
3959
3960    This issue only affects the OpenSSL 1.0.2i
3961    [CVE-2016-7052][]
3962
3963    *Matt Caswell*
3964
3965 ### Changes between 1.0.2h and 1.0.2i [22 Sep 2016] ###
3966
3967  * OCSP Status Request extension unbounded memory growth
3968
3969    A malicious client can send an excessively large OCSP Status Request
3970    extension. If that client continually requests renegotiation, sending a
3971    large OCSP Status Request extension each time, then there will be unbounded
3972    memory growth on the server. This will eventually lead to a Denial Of
3973    Service attack through memory exhaustion. Servers with a default
3974    configuration are vulnerable even if they do not support OCSP. Builds using
3975    the "no-ocsp" build time option are not affected.
3976
3977    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
3978    [CVE-2016-6304][]
3979
3980    *Matt Caswell*
3981
3982  * In order to mitigate the SWEET32 attack, the DES ciphers were moved from
3983    HIGH to MEDIUM.
3984
3985    This issue was reported to OpenSSL Karthikeyan Bhargavan and Gaetan
3986    Leurent (INRIA)
3987    [CVE-2016-2183][]
3988
3989    *Rich Salz*
3990
3991  * OOB write in MDC2_Update()
3992
3993    An overflow can occur in MDC2_Update() either if called directly or
3994    through the EVP_DigestUpdate() function using MDC2. If an attacker
3995    is able to supply very large amounts of input data after a previous
3996    call to EVP_EncryptUpdate() with a partial block then a length check
3997    can overflow resulting in a heap corruption.
3998
3999    The amount of data needed is comparable to SIZE_MAX which is impractical
4000    on most platforms.
4001
4002    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
4003    [CVE-2016-6303][]
4004
4005    *Stephen Henson*
4006
4007  * Malformed SHA512 ticket DoS
4008
4009    If a server uses SHA512 for TLS session ticket HMAC it is vulnerable to a
4010    DoS attack where a malformed ticket will result in an OOB read which will
4011    ultimately crash.
4012
4013    The use of SHA512 in TLS session tickets is comparatively rare as it requires
4014    a custom server callback and ticket lookup mechanism.
4015
4016    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
4017    [CVE-2016-6302][]
4018
4019    *Stephen Henson*
4020
4021  * OOB write in BN_bn2dec()
4022
4023    The function BN_bn2dec() does not check the return value of BN_div_word().
4024    This can cause an OOB write if an application uses this function with an
4025    overly large BIGNUM. This could be a problem if an overly large certificate
4026    or CRL is printed out from an untrusted source. TLS is not affected because
4027    record limits will reject an oversized certificate before it is parsed.
4028
4029    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
4030    [CVE-2016-2182][]
4031
4032    *Stephen Henson*
4033
4034  * OOB read in TS_OBJ_print_bio()
4035
4036    The function TS_OBJ_print_bio() misuses OBJ_obj2txt(): the return value is
4037    the total length the OID text representation would use and not the amount
4038    of data written. This will result in OOB reads when large OIDs are
4039    presented.
4040
4041    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
4042    [CVE-2016-2180][]
4043
4044    *Stephen Henson*
4045
4046  * Pointer arithmetic undefined behaviour
4047
4048    Avoid some undefined pointer arithmetic
4049
4050    A common idiom in the codebase is to check limits in the following manner:
4051    "p + len > limit"
4052
4053    Where "p" points to some malloc'd data of SIZE bytes and
4054    limit == p + SIZE
4055
4056    "len" here could be from some externally supplied data (e.g. from a TLS
4057    message).
4058
4059    The rules of C pointer arithmetic are such that "p + len" is only well
4060    defined where len <= SIZE. Therefore the above idiom is actually
4061    undefined behaviour.
4062
4063    For example this could cause problems if some malloc implementation
4064    provides an address for "p" such that "p + len" actually overflows for
4065    values of len that are too big and therefore p + len < limit.
4066
4067    This issue was reported to OpenSSL by Guido Vranken
4068    [CVE-2016-2177][]
4069
4070    *Matt Caswell*
4071
4072  * Constant time flag not preserved in DSA signing
4073
4074    Operations in the DSA signing algorithm should run in constant time in
4075    order to avoid side channel attacks. A flaw in the OpenSSL DSA
4076    implementation means that a non-constant time codepath is followed for
4077    certain operations. This has been demonstrated through a cache-timing
4078    attack to be sufficient for an attacker to recover the private DSA key.
4079
4080    This issue was reported by César Pereida (Aalto University), Billy Brumley
4081    (Tampere University of Technology), and Yuval Yarom (The University of
4082    Adelaide and NICTA).
4083    [CVE-2016-2178][]
4084
4085    *César Pereida*
4086
4087  * DTLS buffered message DoS
4088
4089    In a DTLS connection where handshake messages are delivered out-of-order
4090    those messages that OpenSSL is not yet ready to process will be buffered
4091    for later use. Under certain circumstances, a flaw in the logic means that
4092    those messages do not get removed from the buffer even though the handshake
4093    has been completed. An attacker could force up to approx. 15 messages to
4094    remain in the buffer when they are no longer required. These messages will
4095    be cleared when the DTLS connection is closed. The default maximum size for
4096    a message is 100k. Therefore the attacker could force an additional 1500k
4097    to be consumed per connection. By opening many simulataneous connections an
4098    attacker could cause a DoS attack through memory exhaustion.
4099
4100    This issue was reported to OpenSSL by Quan Luo.
4101    [CVE-2016-2179][]
4102
4103    *Matt Caswell*
4104
4105  * DTLS replay protection DoS
4106
4107    A flaw in the DTLS replay attack protection mechanism means that records
4108    that arrive for future epochs update the replay protection "window" before
4109    the MAC for the record has been validated. This could be exploited by an
4110    attacker by sending a record for the next epoch (which does not have to
4111    decrypt or have a valid MAC), with a very large sequence number. This means
4112    that all subsequent legitimate packets are dropped causing a denial of
4113    service for a specific DTLS connection.
4114
4115    This issue was reported to OpenSSL by the OCAP audit team.
4116    [CVE-2016-2181][]
4117
4118    *Matt Caswell*
4119
4120  * Certificate message OOB reads
4121
4122    In OpenSSL 1.0.2 and earlier some missing message length checks can result
4123    in OOB reads of up to 2 bytes beyond an allocated buffer. There is a
4124    theoretical DoS risk but this has not been observed in practice on common
4125    platforms.
4126
4127    The messages affected are client certificate, client certificate request
4128    and server certificate. As a result the attack can only be performed
4129    against a client or a server which enables client authentication.
4130
4131    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
4132    [CVE-2016-6306][]
4133
4134    *Stephen Henson*
4135
4136 ### Changes between 1.0.2g and 1.0.2h [3 May 2016] ###
4137
4138  * Prevent padding oracle in AES-NI CBC MAC check
4139
4140    A MITM attacker can use a padding oracle attack to decrypt traffic
4141    when the connection uses an AES CBC cipher and the server support
4142    AES-NI.
4143
4144    This issue was introduced as part of the fix for Lucky 13 padding
4145    attack [CVE-2013-0169][]. The padding check was rewritten to be in
4146    constant time by making sure that always the same bytes are read and
4147    compared against either the MAC or padding bytes. But it no longer
4148    checked that there was enough data to have both the MAC and padding
4149    bytes.
4150
4151    This issue was reported by Juraj Somorovsky using TLS-Attacker.
4152    [CVE-2016-2107][]
4153
4154    *Kurt Roeckx*
4155
4156  * Fix EVP_EncodeUpdate overflow
4157
4158    An overflow can occur in the EVP_EncodeUpdate() function which is used for
4159    Base64 encoding of binary data. If an attacker is able to supply very large
4160    amounts of input data then a length check can overflow resulting in a heap
4161    corruption.
4162
4163    Internally to OpenSSL the EVP_EncodeUpdate() function is primarily used by
4164    the PEM_write_bio* family of functions. These are mainly used within the
4165    OpenSSL command line applications, so any application which processes data
4166    from an untrusted source and outputs it as a PEM file should be considered
4167    vulnerable to this issue. User applications that call these APIs directly
4168    with large amounts of untrusted data may also be vulnerable.
4169
4170    This issue was reported by Guido Vranken.
4171    [CVE-2016-2105][]
4172
4173    *Matt Caswell*
4174
4175  * Fix EVP_EncryptUpdate overflow
4176
4177    An overflow can occur in the EVP_EncryptUpdate() function. If an attacker
4178    is able to supply very large amounts of input data after a previous call to
4179    EVP_EncryptUpdate() with a partial block then a length check can overflow
4180    resulting in a heap corruption. Following an analysis of all OpenSSL
4181    internal usage of the EVP_EncryptUpdate() function all usage is one of two
4182    forms. The first form is where the EVP_EncryptUpdate() call is known to be
4183    the first called function after an EVP_EncryptInit(), and therefore that
4184    specific call must be safe. The second form is where the length passed to
4185    EVP_EncryptUpdate() can be seen from the code to be some small value and
4186    therefore there is no possibility of an overflow. Since all instances are
4187    one of these two forms, it is believed that there can be no overflows in
4188    internal code due to this problem. It should be noted that
4189    EVP_DecryptUpdate() can call EVP_EncryptUpdate() in certain code paths.
4190    Also EVP_CipherUpdate() is a synonym for EVP_EncryptUpdate(). All instances
4191    of these calls have also been analysed too and it is believed there are no
4192    instances in internal usage where an overflow could occur.
4193
4194    This issue was reported by Guido Vranken.
4195    [CVE-2016-2106][]
4196
4197    *Matt Caswell*
4198
4199  * Prevent ASN.1 BIO excessive memory allocation
4200
4201    When ASN.1 data is read from a BIO using functions such as d2i_CMS_bio()
4202    a short invalid encoding can cause allocation of large amounts of memory
4203    potentially consuming excessive resources or exhausting memory.
4204
4205    Any application parsing untrusted data through d2i BIO functions is
4206    affected. The memory based functions such as d2i_X509() are *not* affected.
4207    Since the memory based functions are used by the TLS library, TLS
4208    applications are not affected.
4209
4210    This issue was reported by Brian Carpenter.
4211    [CVE-2016-2109][]
4212
4213    *Stephen Henson*
4214
4215  * EBCDIC overread
4216
4217    ASN1 Strings that are over 1024 bytes can cause an overread in applications
4218    using the X509_NAME_oneline() function on EBCDIC systems. This could result
4219    in arbitrary stack data being returned in the buffer.
4220
4221    This issue was reported by Guido Vranken.
4222    [CVE-2016-2176][]
4223
4224    *Matt Caswell*
4225
4226  * Modify behavior of ALPN to invoke callback after SNI/servername
4227    callback, such that updates to the SSL_CTX affect ALPN.
4228
4229    *Todd Short*
4230
4231  * Remove LOW from the DEFAULT cipher list.  This removes singles DES from the
4232    default.
4233
4234    *Kurt Roeckx*
4235
4236  * Only remove the SSLv2 methods with the no-ssl2-method option. When the
4237    methods are enabled and ssl2 is disabled the methods return NULL.
4238
4239    *Kurt Roeckx*
4240
4241 ### Changes between 1.0.2f and 1.0.2g [1 Mar 2016] ###
4242
4243 * Disable weak ciphers in SSLv3 and up in default builds of OpenSSL.
4244   Builds that are not configured with "enable-weak-ssl-ciphers" will not
4245   provide any "EXPORT" or "LOW" strength ciphers.
4246
4247   *Viktor Dukhovni*
4248
4249 * Disable SSLv2 default build, default negotiation and weak ciphers.  SSLv2
4250   is by default disabled at build-time.  Builds that are not configured with
4251   "enable-ssl2" will not support SSLv2.  Even if "enable-ssl2" is used,
4252   users who want to negotiate SSLv2 via the version-flexible SSLv23_method()
4253   will need to explicitly call either of:
4254
4255       SSL_CTX_clear_options(ctx, SSL_OP_NO_SSLv2);
4256   or
4257       SSL_clear_options(ssl, SSL_OP_NO_SSLv2);
4258
4259   as appropriate.  Even if either of those is used, or the application
4260   explicitly uses the version-specific SSLv2_method() or its client and
4261   server variants, SSLv2 ciphers vulnerable to exhaustive search key
4262   recovery have been removed.  Specifically, the SSLv2 40-bit EXPORT
4263   ciphers, and SSLv2 56-bit DES are no longer available.
4264   [CVE-2016-0800][]
4265
4266    *Viktor Dukhovni*
4267
4268  * Fix a double-free in DSA code
4269
4270    A double free bug was discovered when OpenSSL parses malformed DSA private
4271    keys and could lead to a DoS attack or memory corruption for applications
4272    that receive DSA private keys from untrusted sources.  This scenario is
4273    considered rare.
4274
4275    This issue was reported to OpenSSL by Adam Langley(Google/BoringSSL) using
4276    libFuzzer.
4277    [CVE-2016-0705][]
4278
4279    *Stephen Henson*
4280
4281  * Disable SRP fake user seed to address a server memory leak.
4282
4283    Add a new method SRP_VBASE_get1_by_user that handles the seed properly.
4284
4285    SRP_VBASE_get_by_user had inconsistent memory management behaviour.
4286    In order to fix an unavoidable memory leak, SRP_VBASE_get_by_user
4287    was changed to ignore the "fake user" SRP seed, even if the seed
4288    is configured.
4289
4290    Users should use SRP_VBASE_get1_by_user instead. Note that in
4291    SRP_VBASE_get1_by_user, caller must free the returned value. Note
4292    also that even though configuring the SRP seed attempts to hide
4293    invalid usernames by continuing the handshake with fake
4294    credentials, this behaviour is not constant time and no strong
4295    guarantees are made that the handshake is indistinguishable from
4296    that of a valid user.
4297    [CVE-2016-0798][]
4298
4299    *Emilia Käsper*
4300
4301  * Fix BN_hex2bn/BN_dec2bn NULL pointer deref/heap corruption
4302
4303    In the BN_hex2bn function the number of hex digits is calculated using an
4304    int value |i|. Later |bn_expand| is called with a value of |i * 4|. For
4305    large values of |i| this can result in |bn_expand| not allocating any
4306    memory because |i * 4| is negative. This can leave the internal BIGNUM data
4307    field as NULL leading to a subsequent NULL ptr deref. For very large values
4308    of |i|, the calculation |i * 4| could be a positive value smaller than |i|.
4309    In this case memory is allocated to the internal BIGNUM data field, but it
4310    is insufficiently sized leading to heap corruption. A similar issue exists
4311    in BN_dec2bn. This could have security consequences if BN_hex2bn/BN_dec2bn
4312    is ever called by user applications with very large untrusted hex/dec data.
4313    This is anticipated to be a rare occurrence.
4314
4315    All OpenSSL internal usage of these functions use data that is not expected
4316    to be untrusted, e.g. config file data or application command line
4317    arguments. If user developed applications generate config file data based
4318    on untrusted data then it is possible that this could also lead to security
4319    consequences. This is also anticipated to be rare.
4320
4321    This issue was reported to OpenSSL by Guido Vranken.
4322    [CVE-2016-0797][]
4323
4324    *Matt Caswell*
4325
4326  * Fix memory issues in BIO_*printf functions
4327
4328    The internal |fmtstr| function used in processing a "%s" format string in
4329    the BIO_*printf functions could overflow while calculating the length of a
4330    string and cause an OOB read when printing very long strings.
4331
4332    Additionally the internal |doapr_outch| function can attempt to write to an
4333    OOB memory location (at an offset from the NULL pointer) in the event of a
4334    memory allocation failure. In 1.0.2 and below this could be caused where
4335    the size of a buffer to be allocated is greater than INT_MAX. E.g. this
4336    could be in processing a very long "%s" format string. Memory leaks can
4337    also occur.
4338
4339    The first issue may mask the second issue dependent on compiler behaviour.
4340    These problems could enable attacks where large amounts of untrusted data
4341    is passed to the BIO_*printf functions. If applications use these functions
4342    in this way then they could be vulnerable. OpenSSL itself uses these
4343    functions when printing out human-readable dumps of ASN.1 data. Therefore
4344    applications that print this data could be vulnerable if the data is from
4345    untrusted sources. OpenSSL command line applications could also be
4346    vulnerable where they print out ASN.1 data, or if untrusted data is passed
4347    as command line arguments.
4348
4349    Libssl is not considered directly vulnerable. Additionally certificates etc
4350    received via remote connections via libssl are also unlikely to be able to
4351    trigger these issues because of message size limits enforced within libssl.
4352
4353    This issue was reported to OpenSSL Guido Vranken.
4354    [CVE-2016-0799][]
4355
4356    *Matt Caswell*
4357
4358  * Side channel attack on modular exponentiation
4359
4360    A side-channel attack was found which makes use of cache-bank conflicts on
4361    the Intel Sandy-Bridge microarchitecture which could lead to the recovery
4362    of RSA keys.  The ability to exploit this issue is limited as it relies on
4363    an attacker who has control of code in a thread running on the same
4364    hyper-threaded core as the victim thread which is performing decryptions.
4365
4366    This issue was reported to OpenSSL by Yuval Yarom, The University of
4367    Adelaide and NICTA, Daniel Genkin, Technion and Tel Aviv University, and
4368    Nadia Heninger, University of Pennsylvania with more information at
4369    http://cachebleed.info.
4370    [CVE-2016-0702][]
4371
4372    *Andy Polyakov*
4373
4374  * Change the req app to generate a 2048-bit RSA/DSA key by default,
4375    if no keysize is specified with default_bits. This fixes an
4376    omission in an earlier change that changed all RSA/DSA key generation
4377    apps to use 2048 bits by default.
4378
4379    *Emilia Käsper*
4380
4381 ### Changes between 1.0.2e and 1.0.2f [28 Jan 2016] ###
4382  * DH small subgroups
4383
4384    Historically OpenSSL only ever generated DH parameters based on "safe"
4385    primes. More recently (in version 1.0.2) support was provided for
4386    generating X9.42 style parameter files such as those required for RFC 5114
4387    support. The primes used in such files may not be "safe". Where an
4388    application is using DH configured with parameters based on primes that are
4389    not "safe" then an attacker could use this fact to find a peer's private
4390    DH exponent. This attack requires that the attacker complete multiple
4391    handshakes in which the peer uses the same private DH exponent. For example
4392    this could be used to discover a TLS server's private DH exponent if it's
4393    reusing the private DH exponent or it's using a static DH ciphersuite.
4394
4395    OpenSSL provides the option SSL_OP_SINGLE_DH_USE for ephemeral DH (DHE) in
4396    TLS. It is not on by default. If the option is not set then the server
4397    reuses the same private DH exponent for the life of the server process and
4398    would be vulnerable to this attack. It is believed that many popular
4399    applications do set this option and would therefore not be at risk.
4400
4401    The fix for this issue adds an additional check where a "q" parameter is
4402    available (as is the case in X9.42 based parameters). This detects the
4403    only known attack, and is the only possible defense for static DH
4404    ciphersuites. This could have some performance impact.
4405
4406    Additionally the SSL_OP_SINGLE_DH_USE option has been switched on by
4407    default and cannot be disabled. This could have some performance impact.
4408
4409    This issue was reported to OpenSSL by Antonio Sanso (Adobe).
4410    [CVE-2016-0701][]
4411
4412    *Matt Caswell*
4413
4414  * SSLv2 doesn't block disabled ciphers
4415
4416    A malicious client can negotiate SSLv2 ciphers that have been disabled on
4417    the server and complete SSLv2 handshakes even if all SSLv2 ciphers have
4418    been disabled, provided that the SSLv2 protocol was not also disabled via
4419    SSL_OP_NO_SSLv2.
4420
4421    This issue was reported to OpenSSL on 26th December 2015 by Nimrod Aviram
4422    and Sebastian Schinzel.
4423    [CVE-2015-3197][]
4424
4425    *Viktor Dukhovni*
4426
4427 ### Changes between 1.0.2d and 1.0.2e [3 Dec 2015] ###
4428
4429  * BN_mod_exp may produce incorrect results on x86_64
4430
4431    There is a carry propagating bug in the x86_64 Montgomery squaring
4432    procedure. No EC algorithms are affected. Analysis suggests that attacks
4433    against RSA and DSA as a result of this defect would be very difficult to
4434    perform and are not believed likely. Attacks against DH are considered just
4435    feasible (although very difficult) because most of the work necessary to
4436    deduce information about a private key may be performed offline. The amount
4437    of resources required for such an attack would be very significant and
4438    likely only accessible to a limited number of attackers. An attacker would
4439    additionally need online access to an unpatched system using the target
4440    private key in a scenario with persistent DH parameters and a private
4441    key that is shared between multiple clients. For example this can occur by
4442    default in OpenSSL DHE based SSL/TLS ciphersuites.
4443
4444    This issue was reported to OpenSSL by Hanno Böck.
4445    [CVE-2015-3193][]
4446
4447    *Andy Polyakov*
4448
4449  * Certificate verify crash with missing PSS parameter
4450
4451    The signature verification routines will crash with a NULL pointer
4452    dereference if presented with an ASN.1 signature using the RSA PSS
4453    algorithm and absent mask generation function parameter. Since these
4454    routines are used to verify certificate signature algorithms this can be
4455    used to crash any certificate verification operation and exploited in a
4456    DoS attack. Any application which performs certificate verification is
4457    vulnerable including OpenSSL clients and servers which enable client
4458    authentication.
4459
4460    This issue was reported to OpenSSL by Loïc Jonas Etienne (Qnective AG).
4461    [CVE-2015-3194][]
4462
4463    *Stephen Henson*
4464
4465  * X509_ATTRIBUTE memory leak
4466
4467    When presented with a malformed X509_ATTRIBUTE structure OpenSSL will leak
4468    memory. This structure is used by the PKCS#7 and CMS routines so any
4469    application which reads PKCS#7 or CMS data from untrusted sources is
4470    affected. SSL/TLS is not affected.
4471
4472    This issue was reported to OpenSSL by Adam Langley (Google/BoringSSL) using
4473    libFuzzer.
4474    [CVE-2015-3195][]
4475
4476    *Stephen Henson*
4477
4478  * Rewrite EVP_DecodeUpdate (base64 decoding) to fix several bugs.
4479    This changes the decoding behaviour for some invalid messages,
4480    though the change is mostly in the more lenient direction, and
4481    legacy behaviour is preserved as much as possible.
4482
4483    *Emilia Käsper*
4484
4485  * In DSA_generate_parameters_ex, if the provided seed is too short,
4486    return an error
4487
4488    *Rich Salz and Ismo Puustinen <ismo.puustinen@intel.com>*
4489
4490 ### Changes between 1.0.2c and 1.0.2d [9 Jul 2015] ###
4491
4492  * Alternate chains certificate forgery
4493
4494    During certificate verification, OpenSSL will attempt to find an
4495    alternative certificate chain if the first attempt to build such a chain
4496    fails. An error in the implementation of this logic can mean that an
4497    attacker could cause certain checks on untrusted certificates to be
4498    bypassed, such as the CA flag, enabling them to use a valid leaf
4499    certificate to act as a CA and "issue" an invalid certificate.
4500
4501    This issue was reported to OpenSSL by Adam Langley/David Benjamin
4502    (Google/BoringSSL).
4503
4504    *Matt Caswell*
4505
4506 ### Changes between 1.0.2b and 1.0.2c [12 Jun 2015] ###
4507
4508  * Fix HMAC ABI incompatibility. The previous version introduced an ABI
4509    incompatibility in the handling of HMAC. The previous ABI has now been
4510    restored.
4511
4512    *Matt Caswell*
4513
4514 ### Changes between 1.0.2a and 1.0.2b [11 Jun 2015] ###
4515
4516  * Malformed ECParameters causes infinite loop
4517
4518    When processing an ECParameters structure OpenSSL enters an infinite loop
4519    if the curve specified is over a specially malformed binary polynomial
4520    field.
4521
4522    This can be used to perform denial of service against any
4523    system which processes public keys, certificate requests or
4524    certificates.  This includes TLS clients and TLS servers with
4525    client authentication enabled.
4526
4527    This issue was reported to OpenSSL by Joseph Barr-Pixton.
4528    [CVE-2015-1788][]
4529
4530    *Andy Polyakov*
4531
4532  * Exploitable out-of-bounds read in X509_cmp_time
4533
4534    X509_cmp_time does not properly check the length of the ASN1_TIME
4535    string and can read a few bytes out of bounds. In addition,
4536    X509_cmp_time accepts an arbitrary number of fractional seconds in the
4537    time string.
4538
4539    An attacker can use this to craft malformed certificates and CRLs of
4540    various sizes and potentially cause a segmentation fault, resulting in
4541    a DoS on applications that verify certificates or CRLs. TLS clients
4542    that verify CRLs are affected. TLS clients and servers with client
4543    authentication enabled may be affected if they use custom verification
4544    callbacks.
4545
4546    This issue was reported to OpenSSL by Robert Swiecki (Google), and
4547    independently by Hanno Böck.
4548    [CVE-2015-1789][]
4549
4550    *Emilia Käsper*
4551
4552  * PKCS7 crash with missing EnvelopedContent
4553
4554    The PKCS#7 parsing code does not handle missing inner EncryptedContent
4555    correctly. An attacker can craft malformed ASN.1-encoded PKCS#7 blobs
4556    with missing content and trigger a NULL pointer dereference on parsing.
4557
4558    Applications that decrypt PKCS#7 data or otherwise parse PKCS#7
4559    structures from untrusted sources are affected. OpenSSL clients and
4560    servers are not affected.
4561
4562    This issue was reported to OpenSSL by Michal Zalewski (Google).
4563    [CVE-2015-1790][]
4564
4565    *Emilia Käsper*
4566
4567  * CMS verify infinite loop with unknown hash function
4568
4569    When verifying a signedData message the CMS code can enter an infinite loop
4570    if presented with an unknown hash function OID. This can be used to perform
4571    denial of service against any system which verifies signedData messages using
4572    the CMS code.
4573    This issue was reported to OpenSSL by Johannes Bauer.
4574    [CVE-2015-1792][]
4575
4576    *Stephen Henson*
4577
4578  * Race condition handling NewSessionTicket
4579
4580    If a NewSessionTicket is received by a multi-threaded client when attempting to
4581    reuse a previous ticket then a race condition can occur potentially leading to
4582    a double free of the ticket data.
4583    [CVE-2015-1791][]
4584
4585    *Matt Caswell*
4586
4587  * Only support 256-bit or stronger elliptic curves with the
4588    'ecdh_auto' setting (server) or by default (client). Of supported
4589    curves, prefer P-256 (both).
4590
4591    *Emilia Kasper*
4592
4593 ### Changes between 1.0.2 and 1.0.2a [19 Mar 2015] ###
4594
4595  * ClientHello sigalgs DoS fix
4596
4597    If a client connects to an OpenSSL 1.0.2 server and renegotiates with an
4598    invalid signature algorithms extension a NULL pointer dereference will
4599    occur. This can be exploited in a DoS attack against the server.
4600
4601    This issue was was reported to OpenSSL by David Ramos of Stanford
4602    University.
4603    [CVE-2015-0291][]
4604
4605    *Stephen Henson and Matt Caswell*
4606
4607  * Multiblock corrupted pointer fix
4608
4609    OpenSSL 1.0.2 introduced the "multiblock" performance improvement. This
4610    feature only applies on 64 bit x86 architecture platforms that support AES
4611    NI instructions. A defect in the&