Update CHANGES and NEWS for 1.1.1e release
[openssl.git] / CHANGES.md
1 OpenSSL CHANGES
2 ===============
3
4 This is a high-level summary of the most important changes.
5 For a full list of changes, see the [git commit log][log] and
6 pick the appropriate release branch.
7
8   [log]: https://github.com/openssl/openssl/commits/
9
10
11 OpenSSL Releases
12 ----------------
13
14  - [OpenSSL 3.0](#openssl-30)
15  - [OpenSSL 1.1.1](#openssl-111)
16  - [OpenSSL 1.1.0](#openssl-110)
17  - [OpenSSL 1.0.2](#openssl-102)
18  - [OpenSSL 1.0.1](#openssl-101)
19  - [OpenSSL 1.0.0](#openssl-100)
20  - [OpenSSL 0.9.x](#openssl-09x)
21
22 OpenSSL 3.0
23 -----------
24
25 ### Changes between 1.1.1 and 3.0 [xx XXX xxxx] ###
26
27  * `ASN1_verify()`, `ASN1_digest()` and `ASN1_sign()` have been deprecated.
28    They are old functions that we don't use, and that you could disable with
29    the macro `NO_ASN1_OLD`.  This goes all the way back to OpenSSL 0.9.7.
30
31    *Richard Levitte*
32
33  * The main project documents (README, NEWS, CHANGES, INSTALL, SUPPORT)
34    have been converted to Markdown with the goal to produce documents
35    which not only look pretty when viewed online in the browser, but
36    remain well readable inside a plain text editor.
37
38    To achieve this goal, a 'minimalistic' Markdown style has been applied
39    which avoids formatting elements that interfere too much with the
40    reading flow in the text file. For example, it
41
42    * avoids [ATX headings][] and uses [setext headings][] instead
43      (which works for `<h1>` and `<h2>` headings only).
44    * avoids [inline links][] and uses [reference links][] instead.
45    * avoids [fenced code blocks][] and uses [indented code blocks][] instead.
46
47      [ATX headings]:         https://github.github.com/gfm/#atx-headings
48      [setext headings]:      https://github.github.com/gfm/#setext-headings
49      [inline links]:         https://github.github.com/gfm/#inline-link
50      [reference links]:      https://github.github.com/gfm/#reference-link
51      [fenced code blocks]:   https://github.github.com/gfm/#fenced-code-blocks
52      [indented code blocks]: https://github.github.com/gfm/#indented-code-blocks
53
54    *Matthias St. Pierre*
55
56
57  * The test suite is changed to preserve results of each test recipe.
58    A new directory test-runs/ with subdirectories named like the
59    test recipes are created in the build tree for this purpose.
60
61    *Richard Levitte*
62
63  * The command line utilities ecparam and ec have been deprecated.  Instead
64    use the pkeyparam, pkey and genpkey programs.
65
66    *Paul Dale*
67
68  * All of the low level RSA functions have been deprecated including:
69
70    RSA_new_method, RSA_bits, RSA_size, RSA_security_bits,
71    RSA_get0_pss_params, RSA_get_version, RSA_get0_engine,
72    RSA_generate_key_ex, RSA_generate_multi_prime_key,
73    RSA_X931_derive_ex, RSA_X931_generate_key_ex, RSA_check_key,
74    RSA_check_key_ex, RSA_public_encrypt, RSA_private_encrypt,
75    RSA_public_decrypt, RSA_private_decrypt, RSA_set_default_method,
76    RSA_get_default_method, RSA_null_method, RSA_get_method, RSA_set_method,
77    RSA_PKCS1_OpenSSL, RSA_print_fp, RSA_print, RSA_sign, RSA_verify,
78    RSA_sign_ASN1_OCTET_STRING, RSA_verify_ASN1_OCTET_STRING,
79    RSA_blinding_on, RSA_blinding_off, RSA_setup_blinding,
80    RSA_padding_add_PKCS1_type_1, RSA_padding_check_PKCS1_type_1,
81    RSA_padding_add_PKCS1_type_2, RSA_padding_check_PKCS1_type_2,
82    PKCS1_MGF1, RSA_padding_add_PKCS1_OAEP, RSA_padding_check_PKCS1_OAEP,
83    RSA_padding_add_PKCS1_OAEP_mgf1, RSA_padding_check_PKCS1_OAEP_mgf1,
84    RSA_padding_add_SSLv23, RSA_padding_check_SSLv23,
85    RSA_padding_add_none, RSA_padding_check_none, RSA_padding_add_X931,
86    RSA_padding_check_X931, RSA_X931_hash_id, RSA_verify_PKCS1_PSS,
87    RSA_padding_add_PKCS1_PSS, RSA_verify_PKCS1_PSS_mgf1,
88    RSA_padding_add_PKCS1_PSS_mgf1, RSA_set_ex_data, RSA_get_ex_data,
89    RSA_meth_new, RSA_meth_free, RSA_meth_dup, RSA_meth_get0_name,
90    RSA_meth_set1_name, RSA_meth_get_flags, RSA_meth_set_flags,
91    RSA_meth_get0_app_data, RSA_meth_set0_app_data, RSA_meth_get_pub_enc,
92    RSA_meth_set_pub_enc, RSA_meth_get_pub_dec, RSA_meth_set_pub_dec,
93    RSA_meth_get_priv_enc, RSA_meth_set_priv_enc, RSA_meth_get_priv_dec,
94    RSA_meth_set_priv_dec, RSA_meth_get_mod_exp, RSA_meth_set_mod_exp,
95    RSA_meth_get_bn_mod_exp, RSA_meth_set_bn_mod_exp, RSA_meth_get_init,
96    RSA_meth_set_init, RSA_meth_get_finish, RSA_meth_set_finish,
97    RSA_meth_get_sign, RSA_meth_set_sign, RSA_meth_get_verify,
98    RSA_meth_set_verify, RSA_meth_get_keygen, RSA_meth_set_keygen,
99    RSA_meth_get_multi_prime_keygen and RSA_meth_set_multi_prime_keygen.
100
101    Use of these low level functions has been informally discouraged for a long
102    time.  Instead applications should use L<EVP_PKEY_encrypt_init(3)>,
103    L<EVP_PKEY_encrypt(3)>, L<EVP_PKEY_decrypt_init(3)> and
104    L<EVP_PKEY_decrypt(3)>.
105
106    *Paul Dale*
107
108  * X509 certificates signed using SHA1 are no longer allowed at security
109    level 1 and above.
110    In TLS/SSL the default security level is 1. It can be set either
111    using the cipher string with @SECLEVEL, or calling
112    SSL_CTX_set_security_level(). If the leaf certificate is signed with SHA-1,
113    a call to SSL_CTX_use_certificate() will fail if the security level is not
114    lowered first.
115    Outside TLS/SSL, the default security level is -1 (effectively 0). It can
116    be set using X509_VERIFY_PARAM_set_auth_level() or using the -auth_level
117    options of the apps.
118
119    *Kurt Roeckx*
120
121  * The command line utilities dhparam, dsa, gendsa and dsaparam have been
122    deprecated.  Instead use the pkeyparam, pkey, genpkey and pkeyparam
123    programs respectively.
124
125    *Paul Dale*
126
127  * All of the low level DH functions have been deprecated including:
128
129    DH_OpenSSL, DH_set_default_method, DH_get_default_method, DH_set_method,
130    DH_new_method, DH_bits, DH_size, DH_security_bits, DH_get_ex_new_index,
131    DH_set_ex_data, DH_get_ex_data, DH_generate_parameters_ex,
132    DH_check_params_ex, DH_check_ex, DH_check_pub_key_ex,
133    DH_check, DH_check_pub_key, DH_generate_key, DH_compute_key,
134    DH_compute_key_padded, DHparams_print_fp, DHparams_print, DH_get_nid,
135    DH_KDF_X9_42, DH_get0_engine, DH_get_length, DH_set_length, DH_meth_new,
136    DH_meth_free, DH_meth_dup, DH_meth_get0_name, DH_meth_set1_name,
137    DH_meth_get_flags, DH_meth_set_flags, DH_meth_get0_app_data,
138    DH_meth_set0_app_data, DH_meth_get_generate_key,
139    DH_meth_set_generate_key, DH_meth_get_compute_key,
140    DH_meth_set_compute_key, DH_meth_get_bn_mod_exp,
141    DH_meth_set_bn_mod_exp, DH_meth_get_init, DH_meth_set_init,
142    DH_meth_get_finish, DH_meth_set_finish, DH_meth_get_generate_params
143    and DH_meth_set_generate_params.
144
145    Use of these low level functions has been informally discouraged for a long
146    time.  Instead applications should use L<EVP_PKEY_derive_init(3)>
147    and L<EVP_PKEY_derive(3)>.
148
149    *Paul Dale*
150
151  * All of the low level DSA functions have been deprecated including:
152
153    DSA_do_sign, DSA_do_verify, DSA_OpenSSL, DSA_set_default_method,
154    DSA_get_default_method, DSA_set_method, DSA_get_method, DSA_new_method,
155    DSA_sign_setup, DSA_sign, DSA_verify, DSA_get_ex_new_index,
156    DSA_set_ex_data, DSA_get_ex_data, DSA_generate_parameters_ex,
157    DSA_generate_key, DSA_meth_new, DSA_get0_engine, DSA_meth_free,
158    DSA_meth_dup, DSA_meth_get0_name, DSA_meth_set1_name, DSA_meth_get_flags,
159    DSA_meth_set_flags, DSA_meth_get0_app_data, DSA_meth_set0_app_data,
160    DSA_meth_get_sign, DSA_meth_set_sign, DSA_meth_get_sign_setup,
161    DSA_meth_set_sign_setup, DSA_meth_get_verify, DSA_meth_set_verify,
162    DSA_meth_get_mod_exp, DSA_meth_set_mod_exp, DSA_meth_get_bn_mod_exp,
163    DSA_meth_set_bn_mod_exp, DSA_meth_get_init, DSA_meth_set_init,
164    DSA_meth_get_finish, DSA_meth_set_finish, DSA_meth_get_paramgen,
165    DSA_meth_set_paramgen, DSA_meth_get_keygen and DSA_meth_set_keygen.
166
167    Use of these low level functions has been informally discouraged for a long
168    time.  Instead applications should use L<EVP_DigestSignInit_ex(3)>,
169    L<EVP_DigestSignUpdate(3)> and L<EVP_DigestSignFinal(3)>.
170
171    *Paul Dale*
172
173  * Reworked the treatment of EC EVP_PKEYs with the SM2 curve to
174    automatically become EVP_PKEY_SM2 rather than EVP_PKEY_EC.
175    This means that applications don't have to look at the curve NID and
176    `EVP_PKEY_set_alias_type(pkey, EVP_PKEY_SM2)` to get SM2 computations.
177    However, they still can, that EVP_PKEY_set_alias_type() call acts as
178    a no-op when the EVP_PKEY is already of the given type.
179
180    Parameter and key generation is also reworked to make it possible
181    to generate EVP_PKEY_SM2 parameters and keys without having to go
182    through EVP_PKEY_EC generation and then change the EVP_PKEY type.
183    However, code that does the latter will still work as before.
184
185    *Richard Levitte*
186
187  * Deprecated low level ECDH and ECDSA functions.  These include:
188
189    ECDH_compute_key, ECDSA_do_sign, ECDSA_do_sign_ex, ECDSA_do_verify,
190    ECDSA_sign_setup, ECDSA_sign, ECDSA_sign_ex, ECDSA_verify and
191    ECDSA_size.
192
193    Use of these low level functions has been informally discouraged for a long
194    time.  Instead applications should use the EVP_PKEY_derive(3),
195    EVP_DigestSign(3) and EVP_DigestVerify(3) functions.
196
197    *Paul Dale*
198
199  * Deprecated the EC_KEY_METHOD functions.  These include:
200
201    EC_KEY_METHOD_new, EC_KEY_METHOD_free, EC_KEY_METHOD_set_init,
202    EC_KEY_METHOD_set_keygen, EC_KEY_METHOD_set_compute_key,
203    EC_KEY_METHOD_set_sign, EC_KEY_METHOD_set_verify,
204    EC_KEY_METHOD_get_init, EC_KEY_METHOD_get_keygen,
205    EC_KEY_METHOD_get_compute_key, EC_KEY_METHOD_get_sign and
206    EC_KEY_METHOD_get_verify.
207
208    Instead applications and extension writers should use the OSSL_PROVIDER APIs.
209
210    *Paul Dale*
211
212  * Deprecated EVP_PKEY_decrypt_old(), please use EVP_PKEY_decrypt_init()
213    and EVP_PKEY_decrypt() instead.
214    Deprecated EVP_PKEY_encrypt_old(), please use EVP_PKEY_encrypt_init()
215    and EVP_PKEY_encrypt() instead.
216
217    *Richard Levitte*
218
219  * Enhanced the documentation of EVP_PKEY_size(), EVP_PKEY_bits()
220    and EVP_PKEY_security_bits().  Especially EVP_PKEY_size() needed
221    a new formulation to include all the things it can be used for,
222    as well as words of caution.
223
224    *Richard Levitte*
225
226  * The SSL_CTX_set_tlsext_ticket_key_cb(3) function has been deprecated.
227    Instead used the new SSL_CTX_set_tlsext_ticket_key_evp_cb(3) function.
228
229    *Paul Dale*
230
231  * All of the low level HMAC functions have been deprecated including:
232
233    HMAC, HMAC_size, HMAC_CTX_new, HMAC_CTX_reset, HMAC_CTX_free,
234    HMAC_Init_ex, HMAC_Update, HMAC_Final, HMAC_CTX_copy, HMAC_CTX_set_flags
235    and HMAC_CTX_get_md.
236
237    Use of these low level functions has been informally discouraged for a long
238    time.  Instead applications should use L<EVP_MAC_CTX_new(3)>,
239    L<EVP_MAC_CTX_free(3)>, L<EVP_MAC_init(3)>, L<EVP_MAC_update(3)>
240    and L<EVP_MAC_final(3)>.
241
242    *Paul Dale*
243
244  * Over two thousand fixes were made to the documentation, including:
245    - Common options (such as -rand/-writerand, TLS version control, etc)
246      were refactored and point to newly-enhanced descriptions in openssl.pod.
247    - Added style conformance for all options (with help from Richard Levitte),
248      documented all reported missing options, added a CI build to check
249      that all options are documented and that no unimplemented options
250      are documented.
251    - Documented some internals, such as all use of environment variables.
252    - Addressed all internal broken L<> references.
253
254    *Rich Salz*
255
256  * All of the low level CMAC functions have been deprecated including:
257
258    CMAC_CTX_new, CMAC_CTX_cleanup, CMAC_CTX_free, CMAC_CTX_get0_cipher_ctx,
259    CMAC_CTX_copy, CMAC_Init, CMAC_Update, CMAC_Final and CMAC_resume.
260
261    Use of these low level functions has been informally discouraged for a long
262    time.  Instead applications should use L<EVP_MAC_CTX_new(3)>,
263    L<EVP_MAC_CTX_free(3)>, L<EVP_MAC_init(3)>, L<EVP_MAC_update(3)>
264    and L<EVP_MAC_final(3)>.
265
266    *Paul Dale*
267
268  * All of the low level MD2, MD4, MD5, MDC2, RIPEMD160, SHA1, SHA224, SHA256,
269    SHA384, SHA512 and Whirlpool digest functions have been deprecated.
270    These include:
271
272    MD2, MD2_options, MD2_Init, MD2_Update, MD2_Final, MD4, MD4_Init,
273    MD4_Update, MD4_Final, MD4_Transform, MD5, MD5_Init, MD5_Update,
274    MD5_Final, MD5_Transform, MDC2, MDC2_Init, MDC2_Update, MDC2_Final,
275    RIPEMD160, RIPEMD160_Init, RIPEMD160_Update, RIPEMD160_Final,
276    RIPEMD160_Transform, SHA1_Init, SHA1_Update, SHA1_Final, SHA1_Transform,
277    SHA224_Init, SHA224_Update, SHA224_Final, SHA224_Transform, SHA256_Init,
278    SHA256_Update, SHA256_Final, SHA256_Transform, SHA384, SHA384_Init,
279    SHA384_Update, SHA384_Final, SHA512, SHA512_Init, SHA512_Update,
280    SHA512_Final, SHA512_Transform, WHIRLPOOL, WHIRLPOOL_Init,
281    WHIRLPOOL_Update, WHIRLPOOL_BitUpdate and WHIRLPOOL_Final.
282
283    Use of these low level functions has been informally discouraged
284    for a long time.  Applications should use the EVP_DigestInit_ex(3),
285    EVP_DigestUpdate(3) and EVP_DigestFinal_ex(3) functions instead.
286
287    *Paul Dale*
288
289  * Corrected the documentation of the return values from the EVP_DigestSign*
290    set of functions.  The documentation mentioned negative values for some
291    errors, but this was never the case, so the mention of negative values
292    was removed.
293
294    Code that followed the documentation and thereby check with something
295    like `EVP_DigestSignInit(...) <= 0` will continue to work undisturbed.
296
297    *Richard Levitte*
298
299  * All of the low level cipher functions have been deprecated including:
300
301    AES_options, AES_set_encrypt_key, AES_set_decrypt_key, AES_encrypt,
302    AES_decrypt, AES_ecb_encrypt, AES_cbc_encrypt, AES_cfb128_encrypt,
303    AES_cfb1_encrypt, AES_cfb8_encrypt, AES_ofb128_encrypt,
304    AES_wrap_key, AES_unwrap_key, BF_set_key, BF_encrypt, BF_decrypt,
305    BF_ecb_encrypt, BF_cbc_encrypt, BF_cfb64_encrypt, BF_ofb64_encrypt,
306    BF_options, Camellia_set_key, Camellia_encrypt, Camellia_decrypt,
307    Camellia_ecb_encrypt, Camellia_cbc_encrypt, Camellia_cfb128_encrypt,
308    Camellia_cfb1_encrypt, Camellia_cfb8_encrypt, Camellia_ofb128_encrypt,
309    Camellia_ctr128_encrypt, CAST_set_key, CAST_encrypt, CAST_decrypt,
310    CAST_ecb_encrypt, CAST_cbc_encrypt, CAST_cfb64_encrypt,
311    CAST_ofb64_encrypt, DES_options, DES_encrypt1, DES_encrypt2,
312    DES_encrypt3, DES_decrypt3, DES_cbc_encrypt, DES_ncbc_encrypt,
313    DES_pcbc_encrypt, DES_xcbc_encrypt, DES_cfb_encrypt, DES_cfb64_encrypt,
314    DES_ecb_encrypt, DES_ofb_encrypt, DES_ofb64_encrypt, DES_random_key,
315    DES_set_odd_parity, DES_check_key_parity, DES_is_weak_key, DES_set_key,
316    DES_key_sched, DES_set_key_checked, DES_set_key_unchecked,
317    DES_string_to_key, DES_string_to_2keys, DES_fixup_key_parity,
318    DES_ecb2_encrypt, DES_ede2_cbc_encrypt, DES_ede2_cfb64_encrypt,
319    DES_ede2_ofb64_encrypt, DES_ecb3_encrypt, DES_ede3_cbc_encrypt,
320    DES_ede3_cfb64_encrypt, DES_ede3_cfb_encrypt, DES_ede3_ofb64_encrypt,
321    DES_cbc_cksum, DES_quad_cksum, IDEA_encrypt, IDEA_options,
322    IDEA_ecb_encrypt, IDEA_set_encrypt_key, IDEA_set_decrypt_key,
323    IDEA_cbc_encrypt, IDEA_cfb64_encrypt, IDEA_ofb64_encrypt, RC2_set_key,
324    RC2_encrypt, RC2_decrypt, RC2_ecb_encrypt, RC2_cbc_encrypt,
325    RC2_cfb64_encrypt, RC2_ofb64_encrypt, RC4, RC4_options, RC4_set_key,
326    RC5_32_set_key, RC5_32_encrypt, RC5_32_decrypt, RC5_32_ecb_encrypt,
327    RC5_32_cbc_encrypt, RC5_32_cfb64_encrypt, RC5_32_ofb64_encrypt,
328    SEED_set_key, SEED_encrypt, SEED_decrypt, SEED_ecb_encrypt,
329    SEED_cbc_encrypt, SEED_cfb128_encrypt and SEED_ofb128_encrypt.
330
331    Use of these low level functions has been informally discouraged for
332    a long time. Applications should use the high level EVP APIs, e.g.
333    EVP_EncryptInit_ex, EVP_EncryptUpdate, EVP_EncryptFinal_ex, and the
334    equivalently named decrypt functions instead.
335
336    *Matt Caswell and Paul Dale*
337
338  * Removed include/openssl/opensslconf.h.in and replaced it with
339    include/openssl/configuration.h.in, which differs in not including
340    <openssl/macros.h>.  A short header include/openssl/opensslconf.h
341    was added to include both.
342
343    This allows internal hacks where one might need to modify the set
344    of configured macros, for example this if deprecated symbols are
345    still supposed to be available internally:
346
347        #include <openssl/configuration.h>
348
349        #undef OPENSSL_NO_DEPRECATED
350        #define OPENSSL_SUPPRESS_DEPRECATED
351
352        #include <openssl/macros.h>
353
354    This should not be used by applications that use the exported
355    symbols, as that will lead to linking errors.
356
357    *Richard Levitte*
358
359  * Fixed an overflow bug in the x64_64 Montgomery squaring procedure
360    used in exponentiation with 512-bit moduli. No EC algorithms are
361    affected. Analysis suggests that attacks against 2-prime RSA1024,
362    3-prime RSA1536, and DSA1024 as a result of this defect would be very
363    difficult to perform and are not believed likely. Attacks against DH512
364    are considered just feasible. However, for an attack the target would
365    have to re-use the DH512 private key, which is not recommended anyway.
366    Also applications directly using the low level API BN_mod_exp may be
367    affected if they use BN_FLG_CONSTTIME.
368    [CVE-2019-1551][]
369
370    *Andy Polyakov*
371
372  * Most memory-debug features have been deprecated, and the functionality
373    replaced with no-ops.
374
375    *Rich Salz*
376
377  * Introduced a new method type and API, OSSL_SERIALIZER, to
378    represent generic serializers.  An implementation is expected to
379    be able to serialize an object associated with a given name (such
380    as an algorithm name for an asymmetric key) into forms given by
381    implementation properties.
382
383    Serializers are primarily used from inside libcrypto, through
384    calls to functions like EVP_PKEY_print_private(),
385    PEM_write_bio_PrivateKey() and similar.
386
387    Serializers are specified in such a way that they can be made to
388    directly handle the provider side portion of an object, if this
389    provider side part comes from the same provider as the serializer
390    itself, but can also be made to handle objects in parametrized
391    form (as an OSSL_PARAM array of data).  This allows a provider to
392    offer generic serializers as a service for any other provider.
393
394    *Richard Levitte*
395
396  * Added a .pragma directive to the syntax of configuration files, to
397    allow varying behavior in a supported and predictable manner.
398    Currently added pragma:
399
400            .pragma dollarid:on
401
402    This allows dollar signs to be a keyword character unless it's
403    followed by a opening brace or parenthesis.  This is useful for
404    platforms where dollar signs are commonly used in names, such as
405    volume names and system directory names on VMS.
406
407    *Richard Levitte*
408
409  * Added functionality to create an EVP_PKEY from user data.  This
410    is effectively the same as creating a RSA, DH or DSA object and
411    then assigning them to an EVP_PKEY, but directly using algorithm
412    agnostic EVP functions.  A benefit is that this should be future
413    proof for public key algorithms to come.
414
415    *Richard Levitte*
416
417  * Change the interpretation of the '--api' configuration option to
418    mean that this is a desired API compatibility level with no
419    further meaning.  The previous interpretation, that this would
420    also mean to remove all deprecated symbols up to and including
421    the given version, no requires that 'no-deprecated' is also used
422    in the configuration.
423
424    When building applications, the desired API compatibility level
425    can be set with the OPENSSL_API_COMPAT macro like before.  For
426    API compatibility version below 3.0, the old style numerical
427    value is valid as before, such as -DOPENSSL_API_COMPAT=0x10100000L.
428    For version 3.0 and on, the value is expected to be the decimal
429    value calculated from the major and minor version like this:
430
431            MAJOR * 10000 + MINOR * 100
432
433    Examples:
434
435            -DOPENSSL_API_COMPAT=30000             For 3.0
436            -DOPENSSL_API_COMPAT=30200             For 3.2
437
438    To hide declarations that are deprecated up to and including the
439    given API compatibility level, -DOPENSSL_NO_DEPRECATED must be
440    given when building the application as well.
441
442    *Richard Levitte*
443
444  * Added the X509_LOOKUP_METHOD called X509_LOOKUP_store, to allow
445    access to certificate and CRL stores via URIs and OSSL_STORE
446    loaders.
447
448    This adds the following functions:
449
450    - X509_LOOKUP_store()
451    - X509_STORE_load_file()
452    - X509_STORE_load_path()
453    - X509_STORE_load_store()
454    - SSL_add_store_cert_subjects_to_stack()
455    - SSL_CTX_set_default_verify_store()
456    - SSL_CTX_load_verify_file()
457    - SSL_CTX_load_verify_dir()
458    - SSL_CTX_load_verify_store()
459
460    Also, the following functions are now deprecated:
461
462    - X509_STORE_load_locations() (use X509_STORE_load_file(),
463      X509_STORE_load_path() or X509_STORE_load_store() instead)
464    - SSL_CTX_load_verify_locations() (use SSL_CTX_load_verify_file(),
465      SSL_CTX_load_verify_dir() or SSL_CTX_load_verify_store() instead)
466
467    *Richard Levitte*
468
469  * Added a new method to gather entropy on VMS, based on SYS$GET_ENTROPY.
470    The presence of this system service is determined at run-time.
471
472    *Richard Levitte*
473
474  * Added functionality to create an EVP_PKEY context based on data
475    for methods from providers.  This takes an algorithm name and a
476    property query string and simply stores them, with the intent
477    that any operation that uses this context will use those strings
478    to fetch the needed methods implicitly, thereby making the port
479    of application written for pre-3.0 OpenSSL easier.
480
481    *Richard Levitte*
482
483  * The undocumented function NCONF_WIN32() has been deprecated; for
484    conversion details see the HISTORY section of doc/man5/config.pod
485
486    *Rich Salz*
487
488  * Introduced the new functions EVP_DigestSignInit_ex() and
489    EVP_DigestVerifyInit_ex(). The macros EVP_DigestSignUpdate() and
490    EVP_DigestVerifyUpdate() have been converted to functions. See the man
491    pages for further details.
492
493    *Matt Caswell*
494
495  * Over two thousand fixes were made to the documentation, including:
496    adding missing command flags, better style conformance, documentation
497    of internals, etc.
498
499    *Rich Salz, Richard Levitte*
500
501  * s390x assembly pack: add hardware-support for P-256, P-384, P-521,
502    X25519, X448, Ed25519 and Ed448.
503
504    *Patrick Steuer*
505
506  * Print all values for a PKCS#12 attribute with 'openssl pkcs12', not just
507    the first value.
508
509    *Jon Spillett*
510
511  * Deprecated the public definition of ERR_STATE as well as the function
512    ERR_get_state().  This is done in preparation of making ERR_STATE an
513    opaque type.
514
515    *Richard Levitte*
516
517  * Added ERR functionality to give callers access to the stored function
518    names that have replaced the older function code based functions.
519
520    New functions are ERR_get_error_func(), ERR_peek_error_func(),
521    ERR_peek_last_error_func(), ERR_get_error_data(), ERR_peek_error_data(),
522    ERR_peek_last_error_data(), ERR_get_error_all(), ERR_peek_error_all()
523    and ERR_peek_last_error_all().
524
525    These functions have become deprecated: ERR_get_error_line_data(),
526    ERR_peek_error_line_data(), ERR_peek_last_error_line_data() and
527    ERR_func_error_string().
528
529    *Richard Levitte*
530
531  * Extended testing to be verbose for failing tests only.  The make variables
532    VERBOSE_FAILURE or VF can be used to enable this:
533
534            $ make VF=1 test                           # Unix
535            $ mms /macro=(VF=1) test                   ! OpenVMS
536            $ nmake VF=1 test                          # Windows
537
538
539    *Richard Levitte*
540
541  * For built-in EC curves, ensure an EC_GROUP built from the curve name is
542    used even when parsing explicit parameters, when loading a serialized key
543    or calling `EC_GROUP_new_from_ecpkparameters()`/
544    `EC_GROUP_new_from_ecparameters()`.
545    This prevents bypass of security hardening and performance gains,
546    especially for curves with specialized EC_METHODs.
547    By default, if a key encoded with explicit parameters is loaded and later
548    serialized, the output is still encoded with explicit parameters, even if
549    internally a "named" EC_GROUP is used for computation.
550
551    *Nicola Tuveri*
552
553  * Compute ECC cofactors if not provided during EC_GROUP construction. Before
554    this change, EC_GROUP_set_generator would accept order and/or cofactor as
555    NULL. After this change, only the cofactor parameter can be NULL. It also
556    does some minimal sanity checks on the passed order.
557    [CVE-2019-1547][]
558
559    *Billy Bob Brumley*
560
561  * Fixed a padding oracle in PKCS7_dataDecode and CMS_decrypt_set1_pkey.
562    An attack is simple, if the first CMS_recipientInfo is valid but the
563    second CMS_recipientInfo is chosen ciphertext. If the second
564    recipientInfo decodes to PKCS #1 v1.5 form plaintext, the correct
565    encryption key will be replaced by garbage, and the message cannot be
566    decoded, but if the RSA decryption fails, the correct encryption key is
567    used and the recipient will not notice the attack.
568    As a work around for this potential attack the length of the decrypted
569    key must be equal to the cipher default key length, in case the
570    certifiate is not given and all recipientInfo are tried out.
571    The old behaviour can be re-enabled in the CMS code by setting the
572    CMS_DEBUG_DECRYPT flag.
573
574    *Bernd Edlinger*
575
576  * Early start up entropy quality from the DEVRANDOM seed source has been
577    improved for older Linux systems.  The RAND subsystem will wait for
578    /dev/random to be producing output before seeding from /dev/urandom.
579    The seeded state is stored for future library initialisations using
580    a system global shared memory segment.  The shared memory identifier
581    can be configured by defining OPENSSL_RAND_SEED_DEVRANDOM_SHM_ID to
582    the desired value.  The default identifier is 114.
583
584    *Paul Dale*
585
586  * Revised BN_generate_prime_ex to not avoid factors 2..17863 in p-1
587    when primes for RSA keys are computed.
588    Since we previously always generated primes == 2 (mod 3) for RSA keys,
589    the 2-prime and 3-prime RSA modules were easy to distinguish, since
590    N = p*q = 1 (mod 3), but N = p*q*r = 2 (mod 3). Therefore fingerprinting
591    2-prime vs. 3-prime RSA keys was possible by computing N mod 3.
592    This avoids possible fingerprinting of newly generated RSA modules.
593
594    *Bernd Edlinger*
595
596  * Correct the extended master secret constant on EBCDIC systems. Without this
597    fix TLS connections between an EBCDIC system and a non-EBCDIC system that
598    negotiate EMS will fail. Unfortunately this also means that TLS connections
599    between EBCDIC systems with this fix, and EBCDIC systems without this
600    fix will fail if they negotiate EMS.
601
602    *Matt Caswell*
603
604  * Changed the library initialisation so that the config file is now loaded
605    by default. This was already the case for libssl. It now occurs for both
606    libcrypto and libssl. Use the OPENSSL_INIT_NO_LOAD_CONFIG option to
607    OPENSSL_init_crypto() to suppress automatic loading of a config file.
608
609    *Matt Caswell*
610
611  * Introduced new error raising macros, ERR_raise() and ERR_raise_data(),
612    where the former acts as a replacement for ERR_put_error(), and the
613    latter replaces the combination ERR_put_error()+ERR_add_error_data().
614    ERR_raise_data() adds more flexibility by taking a format string and
615    an arbitrary number of arguments following it, to be processed with
616    BIO_snprintf().
617
618    *Richard Levitte*
619
620  * Introduced a new function, OSSL_PROVIDER_available(), which can be used
621    to check if a named provider is loaded and available.  When called, it
622    will also activate all fallback providers if such are still present.
623
624    *Richard Levitte*
625
626  * Enforce a minimum DH modulus size of 512 bits.
627
628    *Bernd Edlinger*
629
630  * Changed DH parameters to generate the order q subgroup instead of 2q.
631    Previously generated DH parameters are still accepted by DH_check
632    but DH_generate_key works around that by clearing bit 0 of the
633    private key for those. This avoids leaking bit 0 of the private key.
634
635    *Bernd Edlinger*
636
637  * Significantly reduce secure memory usage by the randomness pools.
638
639    *Paul Dale*
640
641  * {CRYPTO,OPENSSL}_mem_debug_{push,pop} are now no-ops and have been
642    deprecated.
643
644    *Rich Salz*
645
646  * A new type, EVP_KEYEXCH, has been introduced to represent key exchange
647    algorithms. An implementation of a key exchange algorithm can be obtained
648    by using the function EVP_KEYEXCH_fetch(). An EVP_KEYEXCH algorithm can be
649    used in a call to EVP_PKEY_derive_init_ex() which works in a similar way to
650    the older EVP_PKEY_derive_init() function. See the man pages for the new
651    functions for further details.
652
653    *Matt Caswell*
654
655  * The EVP_PKEY_CTX_set_dh_pad() macro has now been converted to a function.
656
657    *Matt Caswell*
658
659  * Removed the function names from error messages and deprecated the
660    xxx_F_xxx define's.
661
662  * Removed NextStep support and the macro OPENSSL_UNISTD
663
664    *Rich Salz*
665
666  * Removed DES_check_key.  Also removed OPENSSL_IMPLEMENT_GLOBAL,
667    OPENSSL_GLOBAL_REF, OPENSSL_DECLARE_GLOBAL.
668    Also removed "export var as function" capability; we do not export
669    variables, only functions.
670
671    *Rich Salz*
672
673  * RC5_32_set_key has been changed to return an int type, with 0 indicating
674    an error and 1 indicating success. In previous versions of OpenSSL this
675    was a void type. If a key was set longer than the maximum possible this
676    would crash.
677
678    *Matt Caswell*
679
680  * Support SM2 signing and verification schemes with X509 certificate.
681
682    *Paul Yang*
683
684  * Use SHA256 as the default digest for TS query in the ts app.
685
686    *Tomas Mraz*
687
688  * Change PBKDF2 to conform to SP800-132 instead of the older PKCS5 RFC2898.
689    This checks that the salt length is at least 128 bits, the derived key
690    length is at least 112 bits, and that the iteration count is at least 1000.
691    For backwards compatibility these checks are disabled by default in the
692    default provider, but are enabled by default in the fips provider.
693    To enable or disable these checks use the control
694    EVP_KDF_CTRL_SET_PBKDF2_PKCS5_MODE.
695
696    *Shane Lontis*
697
698  * Default cipher lists/suites are now available via a function, the
699    #defines are deprecated.
700
701    *Todd Short*
702
703  * Add target VC-WIN32-UWP, VC-WIN64A-UWP, VC-WIN32-ARM-UWP and
704    VC-WIN64-ARM-UWP in Windows OneCore target for making building libraries
705    for Windows Store apps easier. Also, the "no-uplink" option has been added.
706
707    *Kenji Mouri*
708
709  * Join the directories crypto/x509 and crypto/x509v3
710
711    *Richard Levitte*
712
713  * Change the default RSA, DSA and DH size to 2048 bit instead of 1024.
714    This changes the size when using the genpkey app when no size is given. It
715    fixes an omission in earlier changes that changed all RSA, DSA and DH
716    generation apps to use 2048 bits by default.
717
718    *Kurt Roeckx*
719
720  * Added command 'openssl kdf' that uses the EVP_KDF API.
721
722    *Shane Lontis*
723
724  * Added command 'openssl mac' that uses the EVP_MAC API.
725
726    *Shane Lontis*
727
728  * Added OPENSSL_info() to get diverse built-in OpenSSL data, such
729    as default directories.  Also added the command 'openssl info'
730    for scripting purposes.
731
732    *Richard Levitte*
733
734  * The functions AES_ige_encrypt() and AES_bi_ige_encrypt() have been
735    deprecated. These undocumented functions were never integrated into the EVP
736    layer and implement the AES Infinite Garble Extension (IGE) mode and AES
737    Bi-directional IGE mode. These modes were never formally standardised and
738    usage of these functions is believed to be very small. In particular
739    AES_bi_ige_encrypt() has a known bug. It accepts 2 AES keys, but only one
740    is ever used. The security implications are believed to be minimal, but
741    this issue was never fixed for backwards compatibility reasons. New code
742    should not use these modes.
743
744    *Matt Caswell*
745
746  * Add prediction resistance to the DRBG reseeding process.
747
748    *Paul Dale*
749
750  * Limit the number of blocks in a data unit for AES-XTS to 2^20 as
751    mandated by IEEE Std 1619-2018.
752
753    *Paul Dale*
754
755  * Added newline escaping functionality to a filename when using openssl dgst.
756    This output format is to replicate the output format found in the '*sum'
757    checksum programs. This aims to preserve backward compatibility.
758
759    *Matt Eaton, Richard Levitte, and Paul Dale*
760
761  * Removed the heartbeat message in DTLS feature, as it has very
762    little usage and doesn't seem to fulfill a valuable purpose.
763    The configuration option is now deprecated.
764
765    *Richard Levitte*
766
767  * Changed the output of 'openssl {digestname} < file' to display the
768    digest name in its output.
769
770    *Richard Levitte*
771
772  * Added a new generic trace API which provides support for enabling
773    instrumentation through trace output. This feature is mainly intended
774    as an aid for developers and is disabled by default. To utilize it,
775    OpenSSL needs to be configured with the `enable-trace` option.
776
777    If the tracing API is enabled, the application can activate trace output
778    by registering BIOs as trace channels for a number of tracing and debugging
779    categories.
780
781    The 'openssl' application has been expanded to enable any of the types
782    available via environment variables defined by the user, and serves as
783    one possible example on how to use this functionality.
784
785    *Richard Levitte & Matthias St. Pierre*
786
787  * Added build tests for C++.  These are generated files that only do one
788    thing, to include one public OpenSSL head file each.  This tests that
789    the public header files can be usefully included in a C++ application.
790
791    This test isn't enabled by default.  It can be enabled with the option
792    'enable-buildtest-c++'.
793
794    *Richard Levitte*
795
796  * Add Single Step KDF (EVP_KDF_SS) to EVP_KDF.
797
798    *Shane Lontis*
799
800  * Add KMAC to EVP_MAC.
801
802    *Shane Lontis*
803
804  * Added property based algorithm implementation selection framework to
805    the core.
806
807    *Paul Dale*
808
809  * Added SCA hardening for modular field inversion in EC_GROUP through
810    a new dedicated field_inv() pointer in EC_METHOD.
811    This also addresses a leakage affecting conversions from projective
812    to affine coordinates.
813
814    *Billy Bob Brumley, Nicola Tuveri*
815
816  * Added EVP_KDF, an EVP layer KDF API, to simplify adding KDF and PRF
817    implementations.  This includes an EVP_PKEY to EVP_KDF bridge for
818    those algorithms that were already supported through the EVP_PKEY API
819    (scrypt, TLS1 PRF and HKDF).  The low-level KDF functions for PBKDF2
820    and scrypt are now wrappers that call EVP_KDF.
821
822    *David Makepeace*
823
824  * Build devcrypto engine as a dynamic engine.
825
826    *Eneas U de Queiroz*
827
828  * Add keyed BLAKE2 to EVP_MAC.
829
830    *Antoine Salon*
831
832  * Fix a bug in the computation of the endpoint-pair shared secret used
833    by DTLS over SCTP. This breaks interoperability with older versions
834    of OpenSSL like OpenSSL 1.1.0 and OpenSSL 1.0.2. There is a runtime
835    switch SSL_MODE_DTLS_SCTP_LABEL_LENGTH_BUG (off by default) enabling
836    interoperability with such broken implementations. However, enabling
837    this switch breaks interoperability with correct implementations.
838
839  * Fix a use after free bug in d2i_X509_PUBKEY when overwriting a
840    re-used X509_PUBKEY object if the second PUBKEY is malformed.
841
842    *Bernd Edlinger*
843
844  * Move strictness check from EVP_PKEY_asn1_new() to EVP_PKEY_asn1_add0().
845
846    *Richard Levitte*
847
848  * Change the license to the Apache License v2.0.
849
850    *Richard Levitte*
851
852  * Switch to a new version scheme using three numbers MAJOR.MINOR.PATCH.
853
854    - Major releases (indicated by incrementing the MAJOR release number)
855      may introduce incompatible API/ABI changes.
856    - Minor releases (indicated by incrementing the MINOR release number)
857      may introduce new features but retain API/ABI compatibility.
858    - Patch releases (indicated by incrementing the PATCH number)
859      are intended for bug fixes and other improvements of existing
860      features only (like improving performance or adding documentation)
861      and retain API/ABI compatibility.
862
863    *Richard Levitte*
864
865  * Add support for RFC5297 SIV mode (siv128), including AES-SIV.
866
867    *Todd Short*
868
869  * Remove the 'dist' target and add a tarball building script.  The
870    'dist' target has fallen out of use, and it shouldn't be
871    necessary to configure just to create a source distribution.
872
873    *Richard Levitte*
874
875  * Recreate the OS390-Unix config target.  It no longer relies on a
876    special script like it did for OpenSSL pre-1.1.0.
877
878    *Richard Levitte*
879
880  * Instead of having the source directories listed in Configure, add
881    a 'build.info' keyword SUBDIRS to indicate what sub-directories to
882    look into.
883
884    *Richard Levitte*
885
886  * Add GMAC to EVP_MAC.
887
888    *Paul Dale*
889
890  * Ported the HMAC, CMAC and SipHash EVP_PKEY_METHODs to EVP_MAC.
891
892    *Richard Levitte*
893
894  * Added EVP_MAC, an EVP layer MAC API, to simplify adding MAC
895    implementations.  This includes a generic EVP_PKEY to EVP_MAC bridge,
896    to facilitate the continued use of MACs through raw private keys in
897    functionality such as EVP_DigestSign* and EVP_DigestVerify*.
898
899    *Richard Levitte*
900
901  * Deprecate ECDH_KDF_X9_62() and mark its replacement as internal. Users
902    should use the EVP interface instead (EVP_PKEY_CTX_set_ecdh_kdf_type).
903
904    *Antoine Salon*
905
906  * Added EVP_PKEY_ECDH_KDF_X9_63 and ecdh_KDF_X9_63() as replacements for
907    the EVP_PKEY_ECDH_KDF_X9_62 KDF type and ECDH_KDF_X9_62(). The old names
908    are retained for backwards compatibility.
909
910    *Antoine Salon*
911
912  * AES-XTS mode now enforces that its two keys are different to mitigate
913    the attacked described in "Efficient Instantiations of Tweakable
914    Blockciphers and Refinements to Modes OCB and PMAC" by Phillip Rogaway.
915    Details of this attack can be obtained from:
916    http://web.cs.ucdavis.edu/%7Erogaway/papers/offsets.pdf
917
918    *Paul Dale*
919
920  * Rename the object files, i.e. give them other names than in previous
921    versions.  Their names now include the name of the final product, as
922    well as its type mnemonic (bin, lib, shlib).
923
924    *Richard Levitte*
925
926  * Added new option for 'openssl list', '-objects', which will display the
927    list of built in objects, i.e. OIDs with names.
928
929    *Richard Levitte*
930
931  * Added support for Linux Kernel TLS data-path. The Linux Kernel data-path
932    improves application performance by removing data copies and providing
933    applications with zero-copy system calls such as sendfile and splice.
934
935    *Boris Pismenny*
936
937
938 OpenSSL 1.1.1
939 -------------
940
941 ### Changes between 1.1.1e and 1.1.1f [xx XXX xxxx] ###
942
943
944 ### Changes between 1.1.1d and 1.1.1e [17 Mar 2020] ###
945
946  * Properly detect EOF while reading in libssl. Previously if we hit an EOF
947    while reading in libssl then we would report an error back to the
948    application (SSL_ERROR_SYSCALL) but errno would be 0. We now add
949    an error to the stack (which means we instead return SSL_ERROR_SSL) and
950    therefore give a hint as to what went wrong.
951
952    *Matt Caswell*
953
954  * Check that ed25519 and ed448 are allowed by the security level. Previously
955    signature algorithms not using an MD were not being checked that they were
956    allowed by the security level.
957
958    *Kurt Roeckx*
959
960  * Fixed SSL_get_servername() behaviour. The behaviour of SSL_get_servername()
961    was not quite right. The behaviour was not consistent between resumption
962    and normal handshakes, and also not quite consistent with historical
963    behaviour. The behaviour in various scenarios has been clarified and
964    it has been updated to make it match historical behaviour as closely as
965    possible.
966
967    *Matt Caswell*
968
969  * *[VMS only]* The header files that the VMS compilers include automatically,
970    `__DECC_INCLUDE_PROLOGUE.H` and `__DECC_INCLUDE_EPILOGUE.H`, use pragmas
971    that the C++ compiler doesn't understand.  This is a shortcoming in the
972    compiler, but can be worked around with `__cplusplus` guards.
973
974    C++ applications that use OpenSSL libraries must be compiled using the
975    qualifier `/NAMES=(AS_IS,SHORTENED)` to be able to use all the OpenSSL
976    functions.  Otherwise, only functions with symbols of less than 31
977    characters can be used, as the linker will not be able to successfully
978    resolve symbols with longer names.
979
980    *Richard Levitte*
981
982  * Added a new method to gather entropy on VMS, based on SYS$GET_ENTROPY.
983    The presence of this system service is determined at run-time.
984
985    *Richard Levitte*
986
987  * Added newline escaping functionality to a filename when using openssl dgst.
988    This output format is to replicate the output format found in the '*sum'
989    checksum programs. This aims to preserve backward compatibility.
990
991    *Matt Eaton, Richard Levitte, and Paul Dale*
992
993  * Print all values for a PKCS#12 attribute with 'openssl pkcs12', not just
994    the first value.
995
996    *Jon Spillett*
997
998 ### Changes between 1.1.1c and 1.1.1d [10 Sep 2019] ###
999
1000  * Fixed a fork protection issue. OpenSSL 1.1.1 introduced a rewritten random
1001    number generator (RNG). This was intended to include protection in the
1002    event of a fork() system call in order to ensure that the parent and child
1003    processes did not share the same RNG state. However this protection was not
1004    being used in the default case.
1005
1006    A partial mitigation for this issue is that the output from a high
1007    precision timer is mixed into the RNG state so the likelihood of a parent
1008    and child process sharing state is significantly reduced.
1009
1010    If an application already calls OPENSSL_init_crypto() explicitly using
1011    OPENSSL_INIT_ATFORK then this problem does not occur at all.
1012    [CVE-2019-1549][]
1013
1014    *Matthias St. Pierre*
1015
1016  * For built-in EC curves, ensure an EC_GROUP built from the curve name is
1017    used even when parsing explicit parameters, when loading a serialized key
1018    or calling `EC_GROUP_new_from_ecpkparameters()`/
1019    `EC_GROUP_new_from_ecparameters()`.
1020    This prevents bypass of security hardening and performance gains,
1021    especially for curves with specialized EC_METHODs.
1022    By default, if a key encoded with explicit parameters is loaded and later
1023    serialized, the output is still encoded with explicit parameters, even if
1024    internally a "named" EC_GROUP is used for computation.
1025
1026    *Nicola Tuveri*
1027
1028  * Compute ECC cofactors if not provided during EC_GROUP construction. Before
1029    this change, EC_GROUP_set_generator would accept order and/or cofactor as
1030    NULL. After this change, only the cofactor parameter can be NULL. It also
1031    does some minimal sanity checks on the passed order.
1032    [CVE-2019-1547][]
1033
1034    *Billy Bob Brumley*
1035
1036  * Fixed a padding oracle in PKCS7_dataDecode and CMS_decrypt_set1_pkey.
1037    An attack is simple, if the first CMS_recipientInfo is valid but the
1038    second CMS_recipientInfo is chosen ciphertext. If the second
1039    recipientInfo decodes to PKCS #1 v1.5 form plaintext, the correct
1040    encryption key will be replaced by garbage, and the message cannot be
1041    decoded, but if the RSA decryption fails, the correct encryption key is
1042    used and the recipient will not notice the attack.
1043    As a work around for this potential attack the length of the decrypted
1044    key must be equal to the cipher default key length, in case the
1045    certifiate is not given and all recipientInfo are tried out.
1046    The old behaviour can be re-enabled in the CMS code by setting the
1047    CMS_DEBUG_DECRYPT flag.
1048    [CVE-2019-1563][]
1049
1050    *Bernd Edlinger*
1051
1052  * Early start up entropy quality from the DEVRANDOM seed source has been
1053    improved for older Linux systems.  The RAND subsystem will wait for
1054    /dev/random to be producing output before seeding from /dev/urandom.
1055    The seeded state is stored for future library initialisations using
1056    a system global shared memory segment.  The shared memory identifier
1057    can be configured by defining OPENSSL_RAND_SEED_DEVRANDOM_SHM_ID to
1058    the desired value.  The default identifier is 114.
1059
1060    *Paul Dale*
1061
1062  * Correct the extended master secret constant on EBCDIC systems. Without this
1063    fix TLS connections between an EBCDIC system and a non-EBCDIC system that
1064    negotiate EMS will fail. Unfortunately this also means that TLS connections
1065    between EBCDIC systems with this fix, and EBCDIC systems without this
1066    fix will fail if they negotiate EMS.
1067
1068    *Matt Caswell*
1069
1070  * Use Windows installation paths in the mingw builds
1071
1072    Mingw isn't a POSIX environment per se, which means that Windows
1073    paths should be used for installation.
1074    [CVE-2019-1552][]
1075
1076    *Richard Levitte*
1077
1078  * Changed DH_check to accept parameters with order q and 2q subgroups.
1079    With order 2q subgroups the bit 0 of the private key is not secret
1080    but DH_generate_key works around that by clearing bit 0 of the
1081    private key for those. This avoids leaking bit 0 of the private key.
1082
1083    *Bernd Edlinger*
1084
1085  * Significantly reduce secure memory usage by the randomness pools.
1086
1087    *Paul Dale*
1088
1089  * Revert the DEVRANDOM_WAIT feature for Linux systems
1090
1091    The DEVRANDOM_WAIT feature added a select() call to wait for the
1092    /dev/random device to become readable before reading from the
1093    /dev/urandom device.
1094
1095    It turned out that this change had negative side effects on
1096    performance which were not acceptable. After some discussion it
1097    was decided to revert this feature and leave it up to the OS
1098    resp. the platform maintainer to ensure a proper initialization
1099    during early boot time.
1100
1101    *Matthias St. Pierre*
1102
1103 ### Changes between 1.1.1b and 1.1.1c [28 May 2019] ###
1104
1105  * Add build tests for C++.  These are generated files that only do one
1106    thing, to include one public OpenSSL head file each.  This tests that
1107    the public header files can be usefully included in a C++ application.
1108
1109    This test isn't enabled by default.  It can be enabled with the option
1110    'enable-buildtest-c++'.
1111
1112    *Richard Levitte*
1113
1114  * Enable SHA3 pre-hashing for ECDSA and DSA.
1115
1116    *Patrick Steuer*
1117
1118  * Change the default RSA, DSA and DH size to 2048 bit instead of 1024.
1119    This changes the size when using the genpkey app when no size is given. It
1120    fixes an omission in earlier changes that changed all RSA, DSA and DH
1121    generation apps to use 2048 bits by default.
1122
1123    *Kurt Roeckx*
1124
1125  * Reorganize the manual pages to consistently have RETURN VALUES,
1126    EXAMPLES, SEE ALSO and HISTORY come in that order, and adjust
1127    util/fix-doc-nits accordingly.
1128
1129    *Paul Yang, Joshua Lock*
1130
1131  * Add the missing accessor EVP_PKEY_get0_engine()
1132
1133    *Matt Caswell*
1134
1135  * Have apps like 's_client' and 's_server' output the signature scheme
1136    along with other cipher suite parameters when debugging.
1137
1138    *Lorinczy Zsigmond*
1139
1140  * Make OPENSSL_config() error agnostic again.
1141
1142    *Richard Levitte*
1143
1144  * Do the error handling in RSA decryption constant time.
1145
1146    *Bernd Edlinger*
1147
1148  * Prevent over long nonces in ChaCha20-Poly1305.
1149
1150    ChaCha20-Poly1305 is an AEAD cipher, and requires a unique nonce input
1151    for every encryption operation. RFC 7539 specifies that the nonce value
1152    (IV) should be 96 bits (12 bytes). OpenSSL allows a variable nonce length
1153    and front pads the nonce with 0 bytes if it is less than 12
1154    bytes. However it also incorrectly allows a nonce to be set of up to 16
1155    bytes. In this case only the last 12 bytes are significant and any
1156    additional leading bytes are ignored.
1157
1158    It is a requirement of using this cipher that nonce values are
1159    unique. Messages encrypted using a reused nonce value are susceptible to
1160    serious confidentiality and integrity attacks. If an application changes
1161    the default nonce length to be longer than 12 bytes and then makes a
1162    change to the leading bytes of the nonce expecting the new value to be a
1163    new unique nonce then such an application could inadvertently encrypt
1164    messages with a reused nonce.
1165
1166    Additionally the ignored bytes in a long nonce are not covered by the
1167    integrity guarantee of this cipher. Any application that relies on the
1168    integrity of these ignored leading bytes of a long nonce may be further
1169    affected. Any OpenSSL internal use of this cipher, including in SSL/TLS,
1170    is safe because no such use sets such a long nonce value. However user
1171    applications that use this cipher directly and set a non-default nonce
1172    length to be longer than 12 bytes may be vulnerable.
1173
1174    This issue was reported to OpenSSL on 16th of March 2019 by Joran Dirk
1175    Greef of Ronomon.
1176    [CVE-2019-1543][]
1177
1178    *Matt Caswell*
1179
1180  * Add DEVRANDOM_WAIT feature for Linux systems
1181
1182    On older Linux systems where the getrandom() system call is not available,
1183    OpenSSL normally uses the /dev/urandom device for seeding its CSPRNG.
1184    Contrary to getrandom(), the /dev/urandom device will not block during
1185    early boot when the kernel CSPRNG has not been seeded yet.
1186
1187    To mitigate this known weakness, use select() to wait for /dev/random to
1188    become readable before reading from /dev/urandom.
1189
1190  * Ensure that SM2 only uses SM3 as digest algorithm
1191
1192    *Paul Yang*
1193
1194 ### Changes between 1.1.1a and 1.1.1b [26 Feb 2019] ###
1195
1196  * Change the info callback signals for the start and end of a post-handshake
1197    message exchange in TLSv1.3. In 1.1.1/1.1.1a we used SSL_CB_HANDSHAKE_START
1198    and SSL_CB_HANDSHAKE_DONE. Experience has shown that many applications get
1199    confused by this and assume that a TLSv1.2 renegotiation has started. This
1200    can break KeyUpdate handling. Instead we no longer signal the start and end
1201    of a post handshake message exchange (although the messages themselves are
1202    still signalled). This could break some applications that were expecting
1203    the old signals. However without this KeyUpdate is not usable for many
1204    applications.
1205
1206    *Matt Caswell*
1207
1208 ### Changes between 1.1.1 and 1.1.1a [20 Nov 2018] ###
1209
1210  * Timing vulnerability in DSA signature generation
1211
1212    The OpenSSL DSA signature algorithm has been shown to be vulnerable to a
1213    timing side channel attack. An attacker could use variations in the signing
1214    algorithm to recover the private key.
1215
1216    This issue was reported to OpenSSL on 16th October 2018 by Samuel Weiser.
1217    [CVE-2018-0734][]
1218
1219    *Paul Dale*
1220
1221  * Timing vulnerability in ECDSA signature generation
1222
1223    The OpenSSL ECDSA signature algorithm has been shown to be vulnerable to a
1224    timing side channel attack. An attacker could use variations in the signing
1225    algorithm to recover the private key.
1226
1227    This issue was reported to OpenSSL on 25th October 2018 by Samuel Weiser.
1228    [CVE-2018-0735][]
1229
1230    *Paul Dale*
1231
1232  * Fixed the issue that RAND_add()/RAND_seed() silently discards random input
1233    if its length exceeds 4096 bytes. The limit has been raised to a buffer size
1234    of two gigabytes and the error handling improved.
1235
1236    This issue was reported to OpenSSL by Dr. Falko Strenzke. It has been
1237    categorized as a normal bug, not a security issue, because the DRBG reseeds
1238    automatically and is fully functional even without additional randomness
1239    provided by the application.
1240
1241 ### Changes between 1.1.0i and 1.1.1 [11 Sep 2018] ###
1242
1243  * Add a new ClientHello callback. Provides a callback interface that gives
1244    the application the ability to adjust the nascent SSL object at the
1245    earliest stage of ClientHello processing, immediately after extensions have
1246    been collected but before they have been processed. In particular, this
1247    callback can adjust the supported TLS versions in response to the contents
1248    of the ClientHello
1249
1250    *Benjamin Kaduk*
1251
1252  * Add SM2 base algorithm support.
1253
1254    *Jack Lloyd*
1255
1256  * s390x assembly pack: add (improved) hardware-support for the following
1257    cryptographic primitives: sha3, shake, aes-gcm, aes-ccm, aes-ctr, aes-ofb,
1258    aes-cfb/cfb8, aes-ecb.
1259
1260    *Patrick Steuer*
1261
1262  * Make EVP_PKEY_asn1_new() a bit stricter about its input.  A NULL pem_str
1263    parameter is no longer accepted, as it leads to a corrupt table.  NULL
1264    pem_str is reserved for alias entries only.
1265
1266    *Richard Levitte*
1267
1268  * Use the new ec_scalar_mul_ladder scaffold to implement a specialized ladder
1269    step for prime curves. The new implementation is based on formulae from
1270    differential addition-and-doubling in homogeneous projective coordinates
1271    from Izu-Takagi "A fast parallel elliptic curve multiplication resistant
1272    against side channel attacks" and Brier-Joye "Weierstrass Elliptic Curves
1273    and Side-Channel Attacks" Eq. (8) for y-coordinate recovery, modified
1274    to work in projective coordinates.
1275
1276    *Billy Bob Brumley, Nicola Tuveri*
1277
1278  * Change generating and checking of primes so that the error rate of not
1279    being prime depends on the intended use based on the size of the input.
1280    For larger primes this will result in more rounds of Miller-Rabin.
1281    The maximal error rate for primes with more than 1080 bits is lowered
1282    to 2^-128.
1283
1284    *Kurt Roeckx, Annie Yousar*
1285
1286  * Increase the number of Miller-Rabin rounds for DSA key generating to 64.
1287
1288    *Kurt Roeckx*
1289
1290  * The 'tsget' script is renamed to 'tsget.pl', to avoid confusion when
1291    moving between systems, and to avoid confusion when a Windows build is
1292    done with mingw vs with MSVC.  For POSIX installs, there's still a
1293    symlink or copy named 'tsget' to avoid that confusion as well.
1294
1295    *Richard Levitte*
1296
1297  * Revert blinding in ECDSA sign and instead make problematic addition
1298    length-invariant. Switch even to fixed-length Montgomery multiplication.
1299
1300    *Andy Polyakov*
1301
1302  * Use the new ec_scalar_mul_ladder scaffold to implement a specialized ladder
1303    step for binary curves. The new implementation is based on formulae from
1304    differential addition-and-doubling in mixed Lopez-Dahab projective
1305    coordinates, modified to independently blind the operands.
1306
1307    *Billy Bob Brumley, Sohaib ul Hassan, Nicola Tuveri*
1308
1309  * Add a scaffold to optionally enhance the Montgomery ladder implementation
1310    for `ec_scalar_mul_ladder` (formerly `ec_mul_consttime`) allowing
1311    EC_METHODs to implement their own specialized "ladder step", to take
1312    advantage of more favorable coordinate systems or more efficient
1313    differential addition-and-doubling algorithms.
1314
1315    *Billy Bob Brumley, Sohaib ul Hassan, Nicola Tuveri*
1316
1317  * Modified the random device based seed sources to keep the relevant
1318    file descriptors open rather than reopening them on each access.
1319    This allows such sources to operate in a chroot() jail without
1320    the associated device nodes being available. This behaviour can be
1321    controlled using RAND_keep_random_devices_open().
1322
1323    *Paul Dale*
1324
1325  * Numerous side-channel attack mitigations have been applied. This may have
1326    performance impacts for some algorithms for the benefit of improved
1327    security. Specific changes are noted in this change log by their respective
1328    authors.
1329
1330    *Matt Caswell*
1331
1332  * AIX shared library support overhaul. Switch to AIX "natural" way of
1333    handling shared libraries, which means collecting shared objects of
1334    different versions and bitnesses in one common archive. This allows to
1335    mitigate conflict between 1.0 and 1.1 side-by-side installations. It
1336    doesn't affect the way 3rd party applications are linked, only how
1337    multi-version installation is managed.
1338
1339    *Andy Polyakov*
1340
1341  * Make ec_group_do_inverse_ord() more robust and available to other
1342    EC cryptosystems, so that irrespective of BN_FLG_CONSTTIME, SCA
1343    mitigations are applied to the fallback BN_mod_inverse().
1344    When using this function rather than BN_mod_inverse() directly, new
1345    EC cryptosystem implementations are then safer-by-default.
1346
1347    *Billy Bob Brumley*
1348
1349  * Add coordinate blinding for EC_POINT and implement projective
1350    coordinate blinding for generic prime curves as a countermeasure to
1351    chosen point SCA attacks.
1352
1353    *Sohaib ul Hassan, Nicola Tuveri, Billy Bob Brumley*
1354
1355  * Add blinding to ECDSA and DSA signatures to protect against side channel
1356    attacks discovered by Keegan Ryan (NCC Group).
1357
1358    *Matt Caswell*
1359
1360  * Enforce checking in the pkeyutl command line app to ensure that the input
1361    length does not exceed the maximum supported digest length when performing
1362    a sign, verify or verifyrecover operation.
1363
1364    *Matt Caswell*
1365
1366  * SSL_MODE_AUTO_RETRY is enabled by default. Applications that use blocking
1367    I/O in combination with something like select() or poll() will hang. This
1368    can be turned off again using SSL_CTX_clear_mode().
1369    Many applications do not properly handle non-application data records, and
1370    TLS 1.3 sends more of such records. Setting SSL_MODE_AUTO_RETRY works
1371    around the problems in those applications, but can also break some.
1372    It's recommended to read the manpages about SSL_read(), SSL_write(),
1373    SSL_get_error(), SSL_shutdown(), SSL_CTX_set_mode() and
1374    SSL_CTX_set_read_ahead() again.
1375
1376    *Kurt Roeckx*
1377
1378  * When unlocking a pass phrase protected PEM file or PKCS#8 container, we
1379    now allow empty (zero character) pass phrases.
1380
1381    *Richard Levitte*
1382
1383  * Apply blinding to binary field modular inversion and remove patent
1384    pending (OPENSSL_SUN_GF2M_DIV) BN_GF2m_mod_div implementation.
1385
1386    *Billy Bob Brumley*
1387
1388  * Deprecate ec2_mult.c and unify scalar multiplication code paths for
1389    binary and prime elliptic curves.
1390
1391    *Billy Bob Brumley*
1392
1393  * Remove ECDSA nonce padding: EC_POINT_mul is now responsible for
1394    constant time fixed point multiplication.
1395
1396    *Billy Bob Brumley*
1397
1398  * Revise elliptic curve scalar multiplication with timing attack
1399    defenses: ec_wNAF_mul redirects to a constant time implementation
1400    when computing fixed point and variable point multiplication (which
1401    in OpenSSL are mostly used with secret scalars in keygen, sign,
1402    ECDH derive operations).
1403    *Billy Bob Brumley, Nicola Tuveri, Cesar Pereida García,
1404     Sohaib ul Hassan*
1405
1406  * Updated CONTRIBUTING
1407
1408    *Rich Salz*
1409
1410  * Updated DRBG / RAND to request nonce and additional low entropy
1411    randomness from the system.
1412
1413    *Matthias St. Pierre*
1414
1415  * Updated 'openssl rehash' to use OpenSSL consistent default.
1416
1417    *Richard Levitte*
1418
1419  * Moved the load of the ssl_conf module to libcrypto, which helps
1420    loading engines that libssl uses before libssl is initialised.
1421
1422    *Matt Caswell*
1423
1424  * Added EVP_PKEY_sign() and EVP_PKEY_verify() for EdDSA
1425
1426    *Matt Caswell*
1427
1428  * Fixed X509_NAME_ENTRY_set to get multi-valued RDNs right in all cases.
1429
1430    *Ingo Schwarze, Rich Salz*
1431
1432  * Added output of accepting IP address and port for 'openssl s_server'
1433
1434    *Richard Levitte*
1435
1436  * Added a new API for TLSv1.3 ciphersuites:
1437       SSL_CTX_set_ciphersuites()
1438       SSL_set_ciphersuites()
1439
1440    *Matt Caswell*
1441
1442  * Memory allocation failures consistently add an error to the error
1443    stack.
1444
1445    *Rich Salz*
1446
1447  * Don't use OPENSSL_ENGINES and OPENSSL_CONF environment values
1448    in libcrypto when run as setuid/setgid.
1449
1450    *Bernd Edlinger*
1451
1452  * Load any config file by default when libssl is used.
1453
1454    *Matt Caswell*
1455
1456  * Added new public header file <openssl/rand_drbg.h> and documentation
1457    for the RAND_DRBG API. See manual page RAND_DRBG(7) for an overview.
1458
1459    *Matthias St. Pierre*
1460
1461  * QNX support removed (cannot find contributors to get their approval
1462    for the license change).
1463
1464    *Rich Salz*
1465
1466  * TLSv1.3 replay protection for early data has been implemented. See the
1467    SSL_read_early_data() man page for further details.
1468
1469    *Matt Caswell*
1470
1471  * Separated TLSv1.3 ciphersuite configuration out from TLSv1.2 ciphersuite
1472    configuration. TLSv1.3 ciphersuites are not compatible with TLSv1.2 and
1473    below. Similarly TLSv1.2 ciphersuites are not compatible with TLSv1.3.
1474    In order to avoid issues where legacy TLSv1.2 ciphersuite configuration
1475    would otherwise inadvertently disable all TLSv1.3 ciphersuites the
1476    configuration has been separated out. See the ciphers man page or the
1477    SSL_CTX_set_ciphersuites() man page for more information.
1478
1479    *Matt Caswell*
1480
1481  * On POSIX (BSD, Linux, ...) systems the ocsp(1) command running
1482    in responder mode now supports the new "-multi" option, which
1483    spawns the specified number of child processes to handle OCSP
1484    requests.  The "-timeout" option now also limits the OCSP
1485    responder's patience to wait to receive the full client request
1486    on a newly accepted connection. Child processes are respawned
1487    as needed, and the CA index file is automatically reloaded
1488    when changed.  This makes it possible to run the "ocsp" responder
1489    as a long-running service, making the OpenSSL CA somewhat more
1490    feature-complete.  In this mode, most diagnostic messages logged
1491    after entering the event loop are logged via syslog(3) rather than
1492    written to stderr.
1493
1494    *Viktor Dukhovni*
1495
1496  * Added support for X448 and Ed448. Heavily based on original work by
1497    Mike Hamburg.
1498
1499    *Matt Caswell*
1500
1501  * Extend OSSL_STORE with capabilities to search and to narrow the set of
1502    objects loaded.  This adds the functions OSSL_STORE_expect() and
1503    OSSL_STORE_find() as well as needed tools to construct searches and
1504    get the search data out of them.
1505
1506    *Richard Levitte*
1507
1508  * Support for TLSv1.3 added. Note that users upgrading from an earlier
1509    version of OpenSSL should review their configuration settings to ensure
1510    that they are still appropriate for TLSv1.3. For further information see:
1511    https://wiki.openssl.org/index.php/TLS1.3
1512
1513    *Matt Caswell*
1514
1515  * Grand redesign of the OpenSSL random generator
1516
1517    The default RAND method now utilizes an AES-CTR DRBG according to
1518    NIST standard SP 800-90Ar1. The new random generator is essentially
1519    a port of the default random generator from the OpenSSL FIPS 2.0
1520    object module. It is a hybrid deterministic random bit generator
1521    using an AES-CTR bit stream and which seeds and reseeds itself
1522    automatically using trusted system entropy sources.
1523
1524    Some of its new features are:
1525     - Support for multiple DRBG instances with seed chaining.
1526     - The default RAND method makes use of a DRBG.
1527     - There is a public and private DRBG instance.
1528     - The DRBG instances are fork-safe.
1529     - Keep all global DRBG instances on the secure heap if it is enabled.
1530     - The public and private DRBG instance are per thread for lock free
1531       operation
1532
1533    *Paul Dale, Benjamin Kaduk, Kurt Roeckx, Rich Salz, Matthias St. Pierre*
1534
1535  * Changed Configure so it only says what it does and doesn't dump
1536    so much data.  Instead, ./configdata.pm should be used as a script
1537    to display all sorts of configuration data.
1538
1539    *Richard Levitte*
1540
1541  * Added processing of "make variables" to Configure.
1542
1543    *Richard Levitte*
1544
1545  * Added SHA512/224 and SHA512/256 algorithm support.
1546
1547    *Paul Dale*
1548
1549  * The last traces of Netware support, first removed in 1.1.0, have
1550    now been removed.
1551
1552    *Rich Salz*
1553
1554  * Get rid of Makefile.shared, and in the process, make the processing
1555    of certain files (rc.obj, or the .def/.map/.opt files produced from
1556    the ordinal files) more visible and hopefully easier to trace and
1557    debug (or make silent).
1558
1559    *Richard Levitte*
1560
1561  * Make it possible to have environment variable assignments as
1562    arguments to config / Configure.
1563
1564    *Richard Levitte*
1565
1566  * Add multi-prime RSA (RFC 8017) support.
1567
1568    *Paul Yang*
1569
1570  * Add SM3 implemented according to GB/T 32905-2016
1571    * Jack Lloyd <jack.lloyd@ribose.com>,
1572      Ronald Tse <ronald.tse@ribose.com>,
1573      Erick Borsboom <erick.borsboom@ribose.com> *
1574
1575  * Add 'Maximum Fragment Length' TLS extension negotiation and support
1576    as documented in RFC6066.
1577    Based on a patch from Tomasz Moń
1578
1579    *Filipe Raimundo da Silva*
1580
1581  * Add SM4 implemented according to GB/T 32907-2016.
1582    * Jack Lloyd <jack.lloyd@ribose.com>,
1583      Ronald Tse <ronald.tse@ribose.com>,
1584      Erick Borsboom <erick.borsboom@ribose.com> *
1585
1586  * Reimplement -newreq-nodes and ERR_error_string_n; the
1587    original author does not agree with the license change.
1588
1589    *Rich Salz*
1590
1591  * Add ARIA AEAD TLS support.
1592
1593    *Jon Spillett*
1594
1595  * Some macro definitions to support VS6 have been removed.  Visual
1596    Studio 6 has not worked since 1.1.0
1597
1598    *Rich Salz*
1599
1600  * Add ERR_clear_last_mark(), to allow callers to clear the last mark
1601    without clearing the errors.
1602
1603    *Richard Levitte*
1604
1605  * Add "atfork" functions.  If building on a system that without
1606    pthreads, see doc/man3/OPENSSL_fork_prepare.pod for application
1607    requirements.  The RAND facility now uses/requires this.
1608
1609    *Rich Salz*
1610
1611  * Add SHA3.
1612
1613    *Andy Polyakov*
1614
1615  * The UI API becomes a permanent and integral part of libcrypto, i.e.
1616    not possible to disable entirely.  However, it's still possible to
1617    disable the console reading UI method, UI_OpenSSL() (use UI_null()
1618    as a fallback).
1619
1620    To disable, configure with 'no-ui-console'.  'no-ui' is still
1621    possible to use as an alias.  Check at compile time with the
1622    macro OPENSSL_NO_UI_CONSOLE.  The macro OPENSSL_NO_UI is still
1623    possible to check and is an alias for OPENSSL_NO_UI_CONSOLE.
1624
1625    *Richard Levitte*
1626
1627  * Add a STORE module, which implements a uniform and URI based reader of
1628    stores that can contain keys, certificates, CRLs and numerous other
1629    objects.  The main API is loosely based on a few stdio functions,
1630    and includes OSSL_STORE_open, OSSL_STORE_load, OSSL_STORE_eof,
1631    OSSL_STORE_error and OSSL_STORE_close.
1632    The implementation uses backends called "loaders" to implement arbitrary
1633    URI schemes.  There is one built in "loader" for the 'file' scheme.
1634
1635    *Richard Levitte*
1636
1637  * Add devcrypto engine.  This has been implemented against cryptodev-linux,
1638    then adjusted to work on FreeBSD 8.4 as well.
1639    Enable by configuring with 'enable-devcryptoeng'.  This is done by default
1640    on BSD implementations, as cryptodev.h is assumed to exist on all of them.
1641
1642    *Richard Levitte*
1643
1644  * Module names can prefixed with OSSL_ or OPENSSL_.  This affects
1645    util/mkerr.pl, which is adapted to allow those prefixes, leading to
1646    error code calls like this:
1647
1648            OSSL_FOOerr(OSSL_FOO_F_SOMETHING, OSSL_FOO_R_WHATEVER);
1649
1650    With this change, we claim the namespaces OSSL and OPENSSL in a manner
1651    that can be encoded in C.  For the foreseeable future, this will only
1652    affect new modules.
1653
1654    *Richard Levitte and Tim Hudson*
1655
1656  * Removed BSD cryptodev engine.
1657
1658    *Rich Salz*
1659
1660  * Add a build target 'build_all_generated', to build all generated files
1661    and only that.  This can be used to prepare everything that requires
1662    things like perl for a system that lacks perl and then move everything
1663    to that system and do the rest of the build there.
1664
1665    *Richard Levitte*
1666
1667  * In the UI interface, make it possible to duplicate the user data.  This
1668    can be used by engines that need to retain the data for a longer time
1669    than just the call where this user data is passed.
1670
1671    *Richard Levitte*
1672
1673  * Ignore the '-named_curve auto' value for compatibility of applications
1674    with OpenSSL 1.0.2.
1675
1676    *Tomas Mraz <tmraz@fedoraproject.org>*
1677
1678  * Fragmented SSL/TLS alerts are no longer accepted. An alert message is 2
1679    bytes long. In theory it is permissible in SSLv3 - TLSv1.2 to fragment such
1680    alerts across multiple records (some of which could be empty). In practice
1681    it make no sense to send an empty alert record, or to fragment one. TLSv1.3
1682    prohibits this altogether and other libraries (BoringSSL, NSS) do not
1683    support this at all. Supporting it adds significant complexity to the
1684    record layer, and its removal is unlikely to cause interoperability
1685    issues.
1686
1687    *Matt Caswell*
1688
1689  * Add the ASN.1 types INT32, UINT32, INT64, UINT64 and variants prefixed
1690    with Z.  These are meant to replace LONG and ZLONG and to be size safe.
1691    The use of LONG and ZLONG is discouraged and scheduled for deprecation
1692    in OpenSSL 1.2.0.
1693
1694    *Richard Levitte*
1695
1696  * Add the 'z' and 'j' modifiers to BIO_printf() et al formatting string,
1697    'z' is to be used for [s]size_t, and 'j' - with [u]int64_t.
1698
1699    *Richard Levitte, Andy Polyakov*
1700
1701  * Add EC_KEY_get0_engine(), which does for EC_KEY what RSA_get0_engine()
1702    does for RSA, etc.
1703
1704    *Richard Levitte*
1705
1706  * Have 'config' recognise 64-bit mingw and choose 'mingw64' as the target
1707    platform rather than 'mingw'.
1708
1709    *Richard Levitte*
1710
1711  * The functions X509_STORE_add_cert and X509_STORE_add_crl return
1712    success if they are asked to add an object which already exists
1713    in the store. This change cascades to other functions which load
1714    certificates and CRLs.
1715
1716    *Paul Dale*
1717
1718  * x86_64 assembly pack: annotate code with DWARF CFI directives to
1719    facilitate stack unwinding even from assembly subroutines.
1720
1721    *Andy Polyakov*
1722
1723  * Remove VAX C specific definitions of OPENSSL_EXPORT, OPENSSL_EXTERN.
1724    Also remove OPENSSL_GLOBAL entirely, as it became a no-op.
1725
1726    *Richard Levitte*
1727
1728  * Remove the VMS-specific reimplementation of gmtime from crypto/o_times.c.
1729    VMS C's RTL has a fully up to date gmtime() and gmtime_r() since V7.1,
1730    which is the minimum version we support.
1731
1732    *Richard Levitte*
1733
1734  * Certificate time validation (X509_cmp_time) enforces stricter
1735    compliance with RFC 5280. Fractional seconds and timezone offsets
1736    are no longer allowed.
1737
1738    *Emilia Käsper*
1739
1740  * Add support for ARIA
1741
1742    *Paul Dale*
1743
1744  * s_client will now send the Server Name Indication (SNI) extension by
1745    default unless the new "-noservername" option is used. The server name is
1746    based on the host provided to the "-connect" option unless overridden by
1747    using "-servername".
1748
1749    *Matt Caswell*
1750
1751  * Add support for SipHash
1752
1753    *Todd Short*
1754
1755  * OpenSSL now fails if it receives an unrecognised record type in TLS1.0
1756    or TLS1.1. Previously this only happened in SSLv3 and TLS1.2. This is to
1757    prevent issues where no progress is being made and the peer continually
1758    sends unrecognised record types, using up resources processing them.
1759
1760    *Matt Caswell*
1761
1762  * 'openssl passwd' can now produce SHA256 and SHA512 based output,
1763    using the algorithm defined in
1764    https://www.akkadia.org/drepper/SHA-crypt.txt
1765
1766    *Richard Levitte*
1767
1768  * Heartbeat support has been removed; the ABI is changed for now.
1769
1770    *Richard Levitte, Rich Salz*
1771
1772  * Support for SSL_OP_NO_ENCRYPT_THEN_MAC in SSL_CONF_cmd.
1773
1774    *Emilia Käsper*
1775
1776  * The RSA "null" method, which was partially supported to avoid patent
1777    issues, has been replaced to always returns NULL.
1778
1779    *Rich Salz*
1780
1781 OpenSSL 1.1.0
1782 -------------
1783
1784
1785 ### Changes between 1.1.0k and 1.1.0l [10 Sep 2019] ###
1786
1787  * For built-in EC curves, ensure an EC_GROUP built from the curve name is
1788    used even when parsing explicit parameters, when loading a serialized key
1789    or calling `EC_GROUP_new_from_ecpkparameters()`/
1790    `EC_GROUP_new_from_ecparameters()`.
1791    This prevents bypass of security hardening and performance gains,
1792    especially for curves with specialized EC_METHODs.
1793    By default, if a key encoded with explicit parameters is loaded and later
1794    serialized, the output is still encoded with explicit parameters, even if
1795    internally a "named" EC_GROUP is used for computation.
1796
1797    *Nicola Tuveri*
1798
1799  * Compute ECC cofactors if not provided during EC_GROUP construction. Before
1800    this change, EC_GROUP_set_generator would accept order and/or cofactor as
1801    NULL. After this change, only the cofactor parameter can be NULL. It also
1802    does some minimal sanity checks on the passed order.
1803    [CVE-2019-1547][]
1804
1805    *Billy Bob Brumley*
1806
1807  * Fixed a padding oracle in PKCS7_dataDecode and CMS_decrypt_set1_pkey.
1808    An attack is simple, if the first CMS_recipientInfo is valid but the
1809    second CMS_recipientInfo is chosen ciphertext. If the second
1810    recipientInfo decodes to PKCS #1 v1.5 form plaintext, the correct
1811    encryption key will be replaced by garbage, and the message cannot be
1812    decoded, but if the RSA decryption fails, the correct encryption key is
1813    used and the recipient will not notice the attack.
1814    As a work around for this potential attack the length of the decrypted
1815    key must be equal to the cipher default key length, in case the
1816    certifiate is not given and all recipientInfo are tried out.
1817    The old behaviour can be re-enabled in the CMS code by setting the
1818    CMS_DEBUG_DECRYPT flag.
1819    [CVE-2019-1563][]
1820
1821    *Bernd Edlinger*
1822
1823  * Use Windows installation paths in the mingw builds
1824
1825    Mingw isn't a POSIX environment per se, which means that Windows
1826    paths should be used for installation.
1827    [CVE-2019-1552][]
1828
1829    *Richard Levitte*
1830
1831 ### Changes between 1.1.0j and 1.1.0k [28 May 2019] ###
1832
1833  * Change the default RSA, DSA and DH size to 2048 bit instead of 1024.
1834    This changes the size when using the genpkey app when no size is given. It
1835    fixes an omission in earlier changes that changed all RSA, DSA and DH
1836    generation apps to use 2048 bits by default.
1837
1838    *Kurt Roeckx*
1839
1840  * Prevent over long nonces in ChaCha20-Poly1305.
1841
1842    ChaCha20-Poly1305 is an AEAD cipher, and requires a unique nonce input
1843    for every encryption operation. RFC 7539 specifies that the nonce value
1844    (IV) should be 96 bits (12 bytes). OpenSSL allows a variable nonce length
1845    and front pads the nonce with 0 bytes if it is less than 12
1846    bytes. However it also incorrectly allows a nonce to be set of up to 16
1847    bytes. In this case only the last 12 bytes are significant and any
1848    additional leading bytes are ignored.
1849
1850    It is a requirement of using this cipher that nonce values are
1851    unique. Messages encrypted using a reused nonce value are susceptible to
1852    serious confidentiality and integrity attacks. If an application changes
1853    the default nonce length to be longer than 12 bytes and then makes a
1854    change to the leading bytes of the nonce expecting the new value to be a
1855    new unique nonce then such an application could inadvertently encrypt
1856    messages with a reused nonce.
1857
1858    Additionally the ignored bytes in a long nonce are not covered by the
1859    integrity guarantee of this cipher. Any application that relies on the
1860    integrity of these ignored leading bytes of a long nonce may be further
1861    affected. Any OpenSSL internal use of this cipher, including in SSL/TLS,
1862    is safe because no such use sets such a long nonce value. However user
1863    applications that use this cipher directly and set a non-default nonce
1864    length to be longer than 12 bytes may be vulnerable.
1865
1866    This issue was reported to OpenSSL on 16th of March 2019 by Joran Dirk
1867    Greef of Ronomon.
1868    [CVE-2019-1543][]
1869
1870    *Matt Caswell*
1871
1872  * Added SCA hardening for modular field inversion in EC_GROUP through
1873    a new dedicated field_inv() pointer in EC_METHOD.
1874    This also addresses a leakage affecting conversions from projective
1875    to affine coordinates.
1876
1877    *Billy Bob Brumley, Nicola Tuveri*
1878
1879  * Fix a use after free bug in d2i_X509_PUBKEY when overwriting a
1880    re-used X509_PUBKEY object if the second PUBKEY is malformed.
1881
1882    *Bernd Edlinger*
1883
1884  * Move strictness check from EVP_PKEY_asn1_new() to EVP_PKEY_asn1_add0().
1885
1886    *Richard Levitte*
1887
1888  * Remove the 'dist' target and add a tarball building script.  The
1889    'dist' target has fallen out of use, and it shouldn't be
1890    necessary to configure just to create a source distribution.
1891
1892    *Richard Levitte*
1893
1894 ### Changes between 1.1.0i and 1.1.0j [20 Nov 2018] ###
1895
1896  * Timing vulnerability in DSA signature generation
1897
1898    The OpenSSL DSA signature algorithm has been shown to be vulnerable to a
1899    timing side channel attack. An attacker could use variations in the signing
1900    algorithm to recover the private key.
1901
1902    This issue was reported to OpenSSL on 16th October 2018 by Samuel Weiser.
1903    [CVE-2018-0734][]
1904
1905    *Paul Dale*
1906
1907  * Timing vulnerability in ECDSA signature generation
1908
1909    The OpenSSL ECDSA signature algorithm has been shown to be vulnerable to a
1910    timing side channel attack. An attacker could use variations in the signing
1911    algorithm to recover the private key.
1912
1913    This issue was reported to OpenSSL on 25th October 2018 by Samuel Weiser.
1914    [CVE-2018-0735][]
1915
1916    *Paul Dale*
1917
1918  * Add coordinate blinding for EC_POINT and implement projective
1919    coordinate blinding for generic prime curves as a countermeasure to
1920    chosen point SCA attacks.
1921
1922    *Sohaib ul Hassan, Nicola Tuveri, Billy Bob Brumley*
1923
1924 ### Changes between 1.1.0h and 1.1.0i [14 Aug 2018] ###
1925
1926  * Client DoS due to large DH parameter
1927
1928    During key agreement in a TLS handshake using a DH(E) based ciphersuite a
1929    malicious server can send a very large prime value to the client. This will
1930    cause the client to spend an unreasonably long period of time generating a
1931    key for this prime resulting in a hang until the client has finished. This
1932    could be exploited in a Denial Of Service attack.
1933
1934    This issue was reported to OpenSSL on 5th June 2018 by Guido Vranken
1935    [CVE-2018-0732][]
1936
1937    *Guido Vranken*
1938
1939  * Cache timing vulnerability in RSA Key Generation
1940
1941    The OpenSSL RSA Key generation algorithm has been shown to be vulnerable to
1942    a cache timing side channel attack. An attacker with sufficient access to
1943    mount cache timing attacks during the RSA key generation process could
1944    recover the private key.
1945
1946    This issue was reported to OpenSSL on 4th April 2018 by Alejandro Cabrera
1947    Aldaya, Billy Brumley, Cesar Pereida Garcia and Luis Manuel Alvarez Tapia.
1948    [CVE-2018-0737][]
1949
1950    *Billy Brumley*
1951
1952  * Make EVP_PKEY_asn1_new() a bit stricter about its input.  A NULL pem_str
1953    parameter is no longer accepted, as it leads to a corrupt table.  NULL
1954    pem_str is reserved for alias entries only.
1955
1956    *Richard Levitte*
1957
1958  * Revert blinding in ECDSA sign and instead make problematic addition
1959    length-invariant. Switch even to fixed-length Montgomery multiplication.
1960
1961    *Andy Polyakov*
1962
1963  * Change generating and checking of primes so that the error rate of not
1964    being prime depends on the intended use based on the size of the input.
1965    For larger primes this will result in more rounds of Miller-Rabin.
1966    The maximal error rate for primes with more than 1080 bits is lowered
1967    to 2^-128.
1968
1969    *Kurt Roeckx, Annie Yousar*
1970
1971  * Increase the number of Miller-Rabin rounds for DSA key generating to 64.
1972
1973    *Kurt Roeckx*
1974
1975  * Add blinding to ECDSA and DSA signatures to protect against side channel
1976    attacks discovered by Keegan Ryan (NCC Group).
1977
1978    *Matt Caswell*
1979
1980  * When unlocking a pass phrase protected PEM file or PKCS#8 container, we
1981    now allow empty (zero character) pass phrases.
1982
1983    *Richard Levitte*
1984
1985  * Certificate time validation (X509_cmp_time) enforces stricter
1986    compliance with RFC 5280. Fractional seconds and timezone offsets
1987    are no longer allowed.
1988
1989    *Emilia Käsper*
1990
1991  * Fixed a text canonicalisation bug in CMS
1992
1993    Where a CMS detached signature is used with text content the text goes
1994    through a canonicalisation process first prior to signing or verifying a
1995    signature. This process strips trailing space at the end of lines, converts
1996    line terminators to CRLF and removes additional trailing line terminators
1997    at the end of a file. A bug in the canonicalisation process meant that
1998    some characters, such as form-feed, were incorrectly treated as whitespace
1999    and removed. This is contrary to the specification (RFC5485). This fix
2000    could mean that detached text data signed with an earlier version of
2001    OpenSSL 1.1.0 may fail to verify using the fixed version, or text data
2002    signed with a fixed OpenSSL may fail to verify with an earlier version of
2003    OpenSSL 1.1.0. A workaround is to only verify the canonicalised text data
2004    and use the "-binary" flag (for the "cms" command line application) or set
2005    the SMIME_BINARY/PKCS7_BINARY/CMS_BINARY flags (if using CMS_verify()).
2006
2007    *Matt Caswell*
2008
2009 ### Changes between 1.1.0g and 1.1.0h [27 Mar 2018] ###
2010
2011  * Constructed ASN.1 types with a recursive definition could exceed the stack
2012
2013    Constructed ASN.1 types with a recursive definition (such as can be found
2014    in PKCS7) could eventually exceed the stack given malicious input with
2015    excessive recursion. This could result in a Denial Of Service attack. There
2016    are no such structures used within SSL/TLS that come from untrusted sources
2017    so this is considered safe.
2018
2019    This issue was reported to OpenSSL on 4th January 2018 by the OSS-fuzz
2020    project.
2021    [CVE-2018-0739][]
2022
2023    *Matt Caswell*
2024
2025  * Incorrect CRYPTO_memcmp on HP-UX PA-RISC
2026
2027    Because of an implementation bug the PA-RISC CRYPTO_memcmp function is
2028    effectively reduced to only comparing the least significant bit of each
2029    byte. This allows an attacker to forge messages that would be considered as
2030    authenticated in an amount of tries lower than that guaranteed by the
2031    security claims of the scheme. The module can only be compiled by the
2032    HP-UX assembler, so that only HP-UX PA-RISC targets are affected.
2033
2034    This issue was reported to OpenSSL on 2nd March 2018 by Peter Waltenberg
2035    (IBM).
2036    [CVE-2018-0733][]
2037
2038    *Andy Polyakov*
2039
2040  * Add a build target 'build_all_generated', to build all generated files
2041    and only that.  This can be used to prepare everything that requires
2042    things like perl for a system that lacks perl and then move everything
2043    to that system and do the rest of the build there.
2044
2045    *Richard Levitte*
2046
2047  * Backport SSL_OP_NO_RENGOTIATION
2048
2049    OpenSSL 1.0.2 and below had the ability to disable renegotiation using the
2050    (undocumented) SSL3_FLAGS_NO_RENEGOTIATE_CIPHERS flag. Due to the opacity
2051    changes this is no longer possible in 1.1.0. Therefore the new
2052    SSL_OP_NO_RENEGOTIATION option from 1.1.1-dev has been backported to
2053    1.1.0 to provide equivalent functionality.
2054
2055    Note that if an application built against 1.1.0h headers (or above) is run
2056    using an older version of 1.1.0 (prior to 1.1.0h) then the option will be
2057    accepted but nothing will happen, i.e. renegotiation will not be prevented.
2058
2059    *Matt Caswell*
2060
2061  * Removed the OS390-Unix config target.  It relied on a script that doesn't
2062    exist.
2063
2064    *Rich Salz*
2065
2066  * rsaz_1024_mul_avx2 overflow bug on x86_64
2067
2068    There is an overflow bug in the AVX2 Montgomery multiplication procedure
2069    used in exponentiation with 1024-bit moduli. No EC algorithms are affected.
2070    Analysis suggests that attacks against RSA and DSA as a result of this
2071    defect would be very difficult to perform and are not believed likely.
2072    Attacks against DH1024 are considered just feasible, because most of the
2073    work necessary to deduce information about a private key may be performed
2074    offline. The amount of resources required for such an attack would be
2075    significant. However, for an attack on TLS to be meaningful, the server
2076    would have to share the DH1024 private key among multiple clients, which is
2077    no longer an option since CVE-2016-0701.
2078
2079    This only affects processors that support the AVX2 but not ADX extensions
2080    like Intel Haswell (4th generation).
2081
2082    This issue was reported to OpenSSL by David Benjamin (Google). The issue
2083    was originally found via the OSS-Fuzz project.
2084    [CVE-2017-3738][]
2085
2086    *Andy Polyakov*
2087
2088 ### Changes between 1.1.0f and 1.1.0g [2 Nov 2017] ###
2089
2090  * bn_sqrx8x_internal carry bug on x86_64
2091
2092    There is a carry propagating bug in the x86_64 Montgomery squaring
2093    procedure. No EC algorithms are affected. Analysis suggests that attacks
2094    against RSA and DSA as a result of this defect would be very difficult to
2095    perform and are not believed likely. Attacks against DH are considered just
2096    feasible (although very difficult) because most of the work necessary to
2097    deduce information about a private key may be performed offline. The amount
2098    of resources required for such an attack would be very significant and
2099    likely only accessible to a limited number of attackers. An attacker would
2100    additionally need online access to an unpatched system using the target
2101    private key in a scenario with persistent DH parameters and a private
2102    key that is shared between multiple clients.
2103
2104    This only affects processors that support the BMI1, BMI2 and ADX extensions
2105    like Intel Broadwell (5th generation) and later or AMD Ryzen.
2106
2107    This issue was reported to OpenSSL by the OSS-Fuzz project.
2108    [CVE-2017-3736][]
2109
2110    *Andy Polyakov*
2111
2112  * Malformed X.509 IPAddressFamily could cause OOB read
2113
2114    If an X.509 certificate has a malformed IPAddressFamily extension,
2115    OpenSSL could do a one-byte buffer overread. The most likely result
2116    would be an erroneous display of the certificate in text format.
2117
2118    This issue was reported to OpenSSL by the OSS-Fuzz project.
2119    [CVE-2017-3735][]
2120
2121    *Rich Salz*
2122
2123 ### Changes between 1.1.0e and 1.1.0f [25 May 2017] ###
2124
2125  * Have 'config' recognise 64-bit mingw and choose 'mingw64' as the target
2126    platform rather than 'mingw'.
2127
2128    *Richard Levitte*
2129
2130  * Remove the VMS-specific reimplementation of gmtime from crypto/o_times.c.
2131    VMS C's RTL has a fully up to date gmtime() and gmtime_r() since V7.1,
2132    which is the minimum version we support.
2133
2134    *Richard Levitte*
2135
2136 ### Changes between 1.1.0d and 1.1.0e [16 Feb 2017] ###
2137
2138  * Encrypt-Then-Mac renegotiation crash
2139
2140    During a renegotiation handshake if the Encrypt-Then-Mac extension is
2141    negotiated where it was not in the original handshake (or vice-versa) then
2142    this can cause OpenSSL to crash (dependant on ciphersuite). Both clients
2143    and servers are affected.
2144
2145    This issue was reported to OpenSSL by Joe Orton (Red Hat).
2146    [CVE-2017-3733][]
2147
2148    *Matt Caswell*
2149
2150 ### Changes between 1.1.0c and 1.1.0d [26 Jan 2017] ###
2151
2152  * Truncated packet could crash via OOB read
2153
2154    If one side of an SSL/TLS path is running on a 32-bit host and a specific
2155    cipher is being used, then a truncated packet can cause that host to
2156    perform an out-of-bounds read, usually resulting in a crash.
2157
2158    This issue was reported to OpenSSL by Robert Święcki of Google.
2159    [CVE-2017-3731][]
2160
2161    *Andy Polyakov*
2162
2163  * Bad (EC)DHE parameters cause a client crash
2164
2165    If a malicious server supplies bad parameters for a DHE or ECDHE key
2166    exchange then this can result in the client attempting to dereference a
2167    NULL pointer leading to a client crash. This could be exploited in a Denial
2168    of Service attack.
2169
2170    This issue was reported to OpenSSL by Guido Vranken.
2171    [CVE-2017-3730][]
2172
2173    *Matt Caswell*
2174
2175  * BN_mod_exp may produce incorrect results on x86_64
2176
2177    There is a carry propagating bug in the x86_64 Montgomery squaring
2178    procedure. No EC algorithms are affected. Analysis suggests that attacks
2179    against RSA and DSA as a result of this defect would be very difficult to
2180    perform and are not believed likely. Attacks against DH are considered just
2181    feasible (although very difficult) because most of the work necessary to
2182    deduce information about a private key may be performed offline. The amount
2183    of resources required for such an attack would be very significant and
2184    likely only accessible to a limited number of attackers. An attacker would
2185    additionally need online access to an unpatched system using the target
2186    private key in a scenario with persistent DH parameters and a private
2187    key that is shared between multiple clients. For example this can occur by
2188    default in OpenSSL DHE based SSL/TLS ciphersuites. Note: This issue is very
2189    similar to CVE-2015-3193 but must be treated as a separate problem.
2190
2191    This issue was reported to OpenSSL by the OSS-Fuzz project.
2192    [CVE-2017-3732][]
2193
2194    *Andy Polyakov*
2195
2196 ### Changes between 1.1.0b and 1.1.0c [10 Nov 2016] ###
2197
2198  * ChaCha20/Poly1305 heap-buffer-overflow
2199
2200    TLS connections using *-CHACHA20-POLY1305 ciphersuites are susceptible to
2201    a DoS attack by corrupting larger payloads. This can result in an OpenSSL
2202    crash. This issue is not considered to be exploitable beyond a DoS.
2203
2204    This issue was reported to OpenSSL by Robert Święcki (Google Security Team)
2205    [CVE-2016-7054][]
2206
2207    *Richard Levitte*
2208
2209  * CMS Null dereference
2210
2211    Applications parsing invalid CMS structures can crash with a NULL pointer
2212    dereference. This is caused by a bug in the handling of the ASN.1 CHOICE
2213    type in OpenSSL 1.1.0 which can result in a NULL value being passed to the
2214    structure callback if an attempt is made to free certain invalid encodings.
2215    Only CHOICE structures using a callback which do not handle NULL value are
2216    affected.
2217
2218    This issue was reported to OpenSSL by Tyler Nighswander of ForAllSecure.
2219    [CVE-2016-7053][]
2220
2221    *Stephen Henson*
2222
2223  * Montgomery multiplication may produce incorrect results
2224
2225    There is a carry propagating bug in the Broadwell-specific Montgomery
2226    multiplication procedure that handles input lengths divisible by, but
2227    longer than 256 bits. Analysis suggests that attacks against RSA, DSA
2228    and DH private keys are impossible. This is because the subroutine in
2229    question is not used in operations with the private key itself and an input
2230    of the attacker's direct choice. Otherwise the bug can manifest itself as
2231    transient authentication and key negotiation failures or reproducible
2232    erroneous outcome of public-key operations with specially crafted input.
2233    Among EC algorithms only Brainpool P-512 curves are affected and one
2234    presumably can attack ECDH key negotiation. Impact was not analyzed in
2235    detail, because pre-requisites for attack are considered unlikely. Namely
2236    multiple clients have to choose the curve in question and the server has to
2237    share the private key among them, neither of which is default behaviour.
2238    Even then only clients that chose the curve will be affected.
2239
2240    This issue was publicly reported as transient failures and was not
2241    initially recognized as a security issue. Thanks to Richard Morgan for
2242    providing reproducible case.
2243    [CVE-2016-7055][]
2244
2245    *Andy Polyakov*
2246
2247  * Removed automatic addition of RPATH in shared libraries and executables,
2248    as this was a remainder from OpenSSL 1.0.x and isn't needed any more.
2249
2250    *Richard Levitte*
2251
2252 ### Changes between 1.1.0a and 1.1.0b [26 Sep 2016] ###
2253
2254  * Fix Use After Free for large message sizes
2255
2256    The patch applied to address CVE-2016-6307 resulted in an issue where if a
2257    message larger than approx 16k is received then the underlying buffer to
2258    store the incoming message is reallocated and moved. Unfortunately a
2259    dangling pointer to the old location is left which results in an attempt to
2260    write to the previously freed location. This is likely to result in a
2261    crash, however it could potentially lead to execution of arbitrary code.
2262
2263    This issue only affects OpenSSL 1.1.0a.
2264
2265    This issue was reported to OpenSSL by Robert Święcki.
2266    [CVE-2016-6309][]
2267
2268    *Matt Caswell*
2269
2270 ### Changes between 1.1.0 and 1.1.0a [22 Sep 2016] ###
2271
2272  * OCSP Status Request extension unbounded memory growth
2273
2274    A malicious client can send an excessively large OCSP Status Request
2275    extension. If that client continually requests renegotiation, sending a
2276    large OCSP Status Request extension each time, then there will be unbounded
2277    memory growth on the server. This will eventually lead to a Denial Of
2278    Service attack through memory exhaustion. Servers with a default
2279    configuration are vulnerable even if they do not support OCSP. Builds using
2280    the "no-ocsp" build time option are not affected.
2281
2282    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
2283    [CVE-2016-6304][]
2284
2285    *Matt Caswell*
2286
2287  * SSL_peek() hang on empty record
2288
2289    OpenSSL 1.1.0 SSL/TLS will hang during a call to SSL_peek() if the peer
2290    sends an empty record. This could be exploited by a malicious peer in a
2291    Denial Of Service attack.
2292
2293    This issue was reported to OpenSSL by Alex Gaynor.
2294    [CVE-2016-6305][]
2295
2296    *Matt Caswell*
2297
2298  * Excessive allocation of memory in tls_get_message_header() and
2299    dtls1_preprocess_fragment()
2300
2301    A (D)TLS message includes 3 bytes for its length in the header for the
2302    message. This would allow for messages up to 16Mb in length. Messages of
2303    this length are excessive and OpenSSL includes a check to ensure that a
2304    peer is sending reasonably sized messages in order to avoid too much memory
2305    being consumed to service a connection. A flaw in the logic of version
2306    1.1.0 means that memory for the message is allocated too early, prior to
2307    the excessive message length check. Due to way memory is allocated in
2308    OpenSSL this could mean an attacker could force up to 21Mb to be allocated
2309    to service a connection. This could lead to a Denial of Service through
2310    memory exhaustion. However, the excessive message length check still takes
2311    place, and this would cause the connection to immediately fail. Assuming
2312    that the application calls SSL_free() on the failed connection in a timely
2313    manner then the 21Mb of allocated memory will then be immediately freed
2314    again. Therefore the excessive memory allocation will be transitory in
2315    nature. This then means that there is only a security impact if:
2316
2317    1) The application does not call SSL_free() in a timely manner in the event
2318    that the connection fails
2319    or
2320    2) The application is working in a constrained environment where there is
2321    very little free memory
2322    or
2323    3) The attacker initiates multiple connection attempts such that there are
2324    multiple connections in a state where memory has been allocated for the
2325    connection; SSL_free() has not yet been called; and there is insufficient
2326    memory to service the multiple requests.
2327
2328    Except in the instance of (1) above any Denial Of Service is likely to be
2329    transitory because as soon as the connection fails the memory is
2330    subsequently freed again in the SSL_free() call. However there is an
2331    increased risk during this period of application crashes due to the lack of
2332    memory - which would then mean a more serious Denial of Service.
2333
2334    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
2335    (CVE-2016-6307 and CVE-2016-6308)
2336
2337    *Matt Caswell*
2338
2339  * solaris-x86-cc, i.e. 32-bit configuration with vendor compiler,
2340    had to be removed. Primary reason is that vendor assembler can't
2341    assemble our modules with -KPIC flag. As result it, assembly
2342    support, was not even available as option. But its lack means
2343    lack of side-channel resistant code, which is incompatible with
2344    security by todays standards. Fortunately gcc is readily available
2345    prepackaged option, which we firmly point at...
2346
2347    *Andy Polyakov*
2348
2349 ### Changes between 1.0.2h and 1.1.0  [25 Aug 2016] ###
2350
2351  * Windows command-line tool supports UTF-8 opt-in option for arguments
2352    and console input. Setting OPENSSL_WIN32_UTF8 environment variable
2353    (to any value) allows Windows user to access PKCS#12 file generated
2354    with Windows CryptoAPI and protected with non-ASCII password, as well
2355    as files generated under UTF-8 locale on Linux also protected with
2356    non-ASCII password.
2357
2358    *Andy Polyakov*
2359
2360  * To mitigate the SWEET32 attack [CVE-2016-2183][], 3DES cipher suites
2361    have been disabled by default and removed from DEFAULT, just like RC4.
2362    See the RC4 item below to re-enable both.
2363
2364    *Rich Salz*
2365
2366  * The method for finding the storage location for the Windows RAND seed file
2367    has changed. First we check %RANDFILE%. If that is not set then we check
2368    the directories %HOME%, %USERPROFILE% and %SYSTEMROOT% in that order. If
2369    all else fails we fall back to C:\.
2370
2371    *Matt Caswell*
2372
2373  * The EVP_EncryptUpdate() function has had its return type changed from void
2374    to int. A return of 0 indicates and error while a return of 1 indicates
2375    success.
2376
2377    *Matt Caswell*
2378
2379  * The flags RSA_FLAG_NO_CONSTTIME, DSA_FLAG_NO_EXP_CONSTTIME and
2380    DH_FLAG_NO_EXP_CONSTTIME which previously provided the ability to switch
2381    off the constant time implementation for RSA, DSA and DH have been made
2382    no-ops and deprecated.
2383
2384    *Matt Caswell*
2385
2386  * Windows RAND implementation was simplified to only get entropy by
2387    calling CryptGenRandom(). Various other RAND-related tickets
2388    were also closed.
2389
2390    *Joseph Wylie Yandle, Rich Salz*
2391
2392  * The stack and lhash API's were renamed to start with OPENSSL_SK_
2393    and OPENSSL_LH_, respectively.  The old names are available
2394    with API compatibility.  They new names are now completely documented.
2395
2396    *Rich Salz*
2397
2398  * Unify TYPE_up_ref(obj) methods signature.
2399    SSL_CTX_up_ref(), SSL_up_ref(), X509_up_ref(), EVP_PKEY_up_ref(),
2400    X509_CRL_up_ref(), X509_OBJECT_up_ref_count() methods are now returning an
2401    int (instead of void) like all others TYPE_up_ref() methods.
2402    So now these methods also check the return value of CRYPTO_atomic_add(),
2403    and the validity of object reference counter.
2404
2405    *fdasilvayy@gmail.com*
2406
2407  * With Windows Visual Studio builds, the .pdb files are installed
2408    alongside the installed libraries and executables.  For a static
2409    library installation, ossl_static.pdb is the associate compiler
2410    generated .pdb file to be used when linking programs.
2411
2412    *Richard Levitte*
2413
2414  * Remove openssl.spec.  Packaging files belong with the packagers.
2415
2416    *Richard Levitte*
2417
2418  * Automatic Darwin/OSX configuration has had a refresh, it will now
2419    recognise x86_64 architectures automatically.  You can still decide
2420    to build for a different bitness with the environment variable
2421    KERNEL_BITS (can be 32 or 64), for example:
2422
2423            KERNEL_BITS=32 ./config
2424
2425    *Richard Levitte*
2426
2427  * Change default algorithms in pkcs8 utility to use PKCS#5 v2.0,
2428    256 bit AES and HMAC with SHA256.
2429
2430    *Steve Henson*
2431
2432  * Remove support for MIPS o32 ABI on IRIX (and IRIX only).
2433
2434    *Andy Polyakov*
2435
2436  * Triple-DES ciphers have been moved from HIGH to MEDIUM.
2437
2438    *Rich Salz*
2439
2440  * To enable users to have their own config files and build file templates,
2441    Configure looks in the directory indicated by the environment variable
2442    OPENSSL_LOCAL_CONFIG_DIR as well as the in-source Configurations/
2443    directory.  On VMS, OPENSSL_LOCAL_CONFIG_DIR is expected to be a logical
2444    name and is used as is.
2445
2446    *Richard Levitte*
2447
2448  * The following datatypes were made opaque: X509_OBJECT, X509_STORE_CTX,
2449    X509_STORE, X509_LOOKUP, and X509_LOOKUP_METHOD.  The unused type
2450    X509_CERT_FILE_CTX was removed.
2451
2452    *Rich Salz*
2453
2454  * "shared" builds are now the default. To create only static libraries use
2455    the "no-shared" Configure option.
2456
2457    *Matt Caswell*
2458
2459  * Remove the no-aes, no-hmac, no-rsa, no-sha and no-md5 Configure options.
2460    All of these option have not worked for some while and are fundamental
2461    algorithms.
2462
2463    *Matt Caswell*
2464
2465  * Make various cleanup routines no-ops and mark them as deprecated. Most
2466    global cleanup functions are no longer required because they are handled
2467    via auto-deinit (see OPENSSL_init_crypto and OPENSSL_init_ssl man pages).
2468    Explicitly de-initing can cause problems (e.g. where a library that uses
2469    OpenSSL de-inits, but an application is still using it). The affected
2470    functions are CONF_modules_free(), ENGINE_cleanup(), OBJ_cleanup(),
2471    EVP_cleanup(), BIO_sock_cleanup(), CRYPTO_cleanup_all_ex_data(),
2472    RAND_cleanup(), SSL_COMP_free_compression_methods(), ERR_free_strings() and
2473    COMP_zlib_cleanup().
2474
2475    *Matt Caswell*
2476
2477  * --strict-warnings no longer enables runtime debugging options
2478    such as REF_DEBUG. Instead, debug options are automatically
2479    enabled with '--debug' builds.
2480
2481    *Andy Polyakov, Emilia Käsper*
2482
2483  * Made DH and DH_METHOD opaque. The structures for managing DH objects
2484    have been moved out of the public header files. New functions for managing
2485    these have been added.
2486
2487    *Matt Caswell*
2488
2489  * Made RSA and RSA_METHOD opaque. The structures for managing RSA
2490    objects have been moved out of the public header files. New
2491    functions for managing these have been added.
2492
2493    *Richard Levitte*
2494
2495  * Made DSA and DSA_METHOD opaque. The structures for managing DSA objects
2496    have been moved out of the public header files. New functions for managing
2497    these have been added.
2498
2499    *Matt Caswell*
2500
2501  * Made BIO and BIO_METHOD opaque. The structures for managing BIOs have been
2502    moved out of the public header files. New functions for managing these
2503    have been added.
2504
2505    *Matt Caswell*
2506
2507  * Removed no-rijndael as a config option. Rijndael is an old name for AES.
2508
2509    *Matt Caswell*
2510
2511  * Removed the mk1mf build scripts.
2512
2513    *Richard Levitte*
2514
2515  * Headers are now wrapped, if necessary, with OPENSSL_NO_xxx, so
2516    it is always safe to #include a header now.
2517
2518    *Rich Salz*
2519
2520  * Removed the aged BC-32 config and all its supporting scripts
2521
2522    *Richard Levitte*
2523
2524  * Removed support for Ultrix, Netware, and OS/2.
2525
2526    *Rich Salz*
2527
2528  * Add support for HKDF.
2529
2530    *Alessandro Ghedini*
2531
2532  * Add support for blake2b and blake2s
2533
2534    *Bill Cox*
2535
2536  * Added support for "pipelining". Ciphers that have the
2537    EVP_CIPH_FLAG_PIPELINE flag set have a capability to process multiple
2538    encryptions/decryptions simultaneously. There are currently no built-in
2539    ciphers with this property but the expectation is that engines will be able
2540    to offer it to significantly improve throughput. Support has been extended
2541    into libssl so that multiple records for a single connection can be
2542    processed in one go (for >=TLS 1.1).
2543
2544    *Matt Caswell*
2545
2546  * Added the AFALG engine. This is an async capable engine which is able to
2547    offload work to the Linux kernel. In this initial version it only supports
2548    AES128-CBC. The kernel must be version 4.1.0 or greater.
2549
2550    *Catriona Lucey*
2551
2552  * OpenSSL now uses a new threading API. It is no longer necessary to
2553    set locking callbacks to use OpenSSL in a multi-threaded environment. There
2554    are two supported threading models: pthreads and windows threads. It is
2555    also possible to configure OpenSSL at compile time for "no-threads". The
2556    old threading API should no longer be used. The functions have been
2557    replaced with "no-op" compatibility macros.
2558
2559    *Alessandro Ghedini, Matt Caswell*
2560
2561  * Modify behavior of ALPN to invoke callback after SNI/servername
2562    callback, such that updates to the SSL_CTX affect ALPN.
2563
2564    *Todd Short*
2565
2566  * Add SSL_CIPHER queries for authentication and key-exchange.
2567
2568    *Todd Short*
2569
2570  * Changes to the DEFAULT cipherlist:
2571      - Prefer (EC)DHE handshakes over plain RSA.
2572      - Prefer AEAD ciphers over legacy ciphers.
2573      - Prefer ECDSA over RSA when both certificates are available.
2574      - Prefer TLSv1.2 ciphers/PRF.
2575      - Remove DSS, SEED, IDEA, CAMELLIA, and AES-CCM from the
2576        default cipherlist.
2577
2578    *Emilia Käsper*
2579
2580  * Change the ECC default curve list to be this, in order: x25519,
2581    secp256r1, secp521r1, secp384r1.
2582
2583    *Rich Salz*
2584
2585  * RC4 based libssl ciphersuites are now classed as "weak" ciphers and are
2586    disabled by default. They can be re-enabled using the
2587    enable-weak-ssl-ciphers option to Configure.
2588
2589    *Matt Caswell*
2590
2591  * If the server has ALPN configured, but supports no protocols that the
2592    client advertises, send a fatal "no_application_protocol" alert.
2593    This behaviour is SHALL in RFC 7301, though it isn't universally
2594    implemented by other servers.
2595
2596    *Emilia Käsper*
2597
2598  * Add X25519 support.
2599    Add ASN.1 and EVP_PKEY methods for X25519. This includes support
2600    for public and private key encoding using the format documented in
2601    draft-ietf-curdle-pkix-02. The corresponding EVP_PKEY method supports
2602    key generation and key derivation.
2603
2604    TLS support complies with draft-ietf-tls-rfc4492bis-08 and uses
2605    X25519(29).
2606
2607    *Steve Henson*
2608
2609  * Deprecate SRP_VBASE_get_by_user.
2610    SRP_VBASE_get_by_user had inconsistent memory management behaviour.
2611    In order to fix an unavoidable memory leak [CVE-2016-0798][],
2612    SRP_VBASE_get_by_user was changed to ignore the "fake user" SRP
2613    seed, even if the seed is configured.
2614
2615    Users should use SRP_VBASE_get1_by_user instead. Note that in
2616    SRP_VBASE_get1_by_user, caller must free the returned value. Note
2617    also that even though configuring the SRP seed attempts to hide
2618    invalid usernames by continuing the handshake with fake
2619    credentials, this behaviour is not constant time and no strong
2620    guarantees are made that the handshake is indistinguishable from
2621    that of a valid user.
2622
2623    *Emilia Käsper*
2624
2625  * Configuration change; it's now possible to build dynamic engines
2626    without having to build shared libraries and vice versa.  This
2627    only applies to the engines in engines/, those in crypto/engine/
2628    will always be built into libcrypto (i.e. "static").
2629
2630    Building dynamic engines is enabled by default; to disable, use
2631    the configuration option "disable-dynamic-engine".
2632
2633    The only requirements for building dynamic engines are the
2634    presence of the DSO module and building with position independent
2635    code, so they will also automatically be disabled if configuring
2636    with "disable-dso" or "disable-pic".
2637
2638    The macros OPENSSL_NO_STATIC_ENGINE and OPENSSL_NO_DYNAMIC_ENGINE
2639    are also taken away from openssl/opensslconf.h, as they are
2640    irrelevant.
2641
2642    *Richard Levitte*
2643
2644  * Configuration change; if there is a known flag to compile
2645    position independent code, it will always be applied on the
2646    libcrypto and libssl object files, and never on the application
2647    object files.  This means other libraries that use routines from
2648    libcrypto / libssl can be made into shared libraries regardless
2649    of how OpenSSL was configured.
2650
2651    If this isn't desirable, the configuration options "disable-pic"
2652    or "no-pic" can be used to disable the use of PIC.  This will
2653    also disable building shared libraries and dynamic engines.
2654
2655    *Richard Levitte*
2656
2657  * Removed JPAKE code.  It was experimental and has no wide use.
2658
2659    *Rich Salz*
2660
2661  * The INSTALL_PREFIX Makefile variable has been renamed to
2662    DESTDIR.  That makes for less confusion on what this variable
2663    is for.  Also, the configuration option --install_prefix is
2664    removed.
2665
2666    *Richard Levitte*
2667
2668  * Heartbeat for TLS has been removed and is disabled by default
2669    for DTLS; configure with enable-heartbeats.  Code that uses the
2670    old #define's might need to be updated.
2671
2672    *Emilia Käsper, Rich Salz*
2673
2674  * Rename REF_CHECK to REF_DEBUG.
2675
2676    *Rich Salz*
2677
2678  * New "unified" build system
2679
2680    The "unified" build system is aimed to be a common system for all
2681    platforms we support.  With it comes new support for VMS.
2682
2683    This system builds supports building in a different directory tree
2684    than the source tree.  It produces one Makefile (for unix family
2685    or lookalikes), or one descrip.mms (for VMS).
2686
2687    The source of information to make the Makefile / descrip.mms is
2688    small files called 'build.info', holding the necessary
2689    information for each directory with source to compile, and a
2690    template in Configurations, like unix-Makefile.tmpl or
2691    descrip.mms.tmpl.
2692
2693    With this change, the library names were also renamed on Windows
2694    and on VMS.  They now have names that are closer to the standard
2695    on Unix, and include the major version number, and in certain
2696    cases, the architecture they are built for.  See "Notes on shared
2697    libraries" in INSTALL.
2698
2699    We rely heavily on the perl module Text::Template.
2700
2701    *Richard Levitte*
2702
2703  * Added support for auto-initialisation and de-initialisation of the library.
2704    OpenSSL no longer requires explicit init or deinit routines to be called,
2705    except in certain circumstances. See the OPENSSL_init_crypto() and
2706    OPENSSL_init_ssl() man pages for further information.
2707
2708    *Matt Caswell*
2709
2710  * The arguments to the DTLSv1_listen function have changed. Specifically the
2711    "peer" argument is now expected to be a BIO_ADDR object.
2712
2713  * Rewrite of BIO networking library. The BIO library lacked consistent
2714    support of IPv6, and adding it required some more extensive
2715    modifications.  This introduces the BIO_ADDR and BIO_ADDRINFO types,
2716    which hold all types of addresses and chains of address information.
2717    It also introduces a new API, with functions like BIO_socket,
2718    BIO_connect, BIO_listen, BIO_lookup and a rewrite of BIO_accept.
2719    The source/sink BIOs BIO_s_connect, BIO_s_accept and BIO_s_datagram
2720    have been adapted accordingly.
2721
2722    *Richard Levitte*
2723
2724  * RSA_padding_check_PKCS1_type_1 now accepts inputs with and without
2725    the leading 0-byte.
2726
2727    *Emilia Käsper*
2728
2729  * CRIME protection: disable compression by default, even if OpenSSL is
2730    compiled with zlib enabled. Applications can still enable compression
2731    by calling SSL_CTX_clear_options(ctx, SSL_OP_NO_COMPRESSION), or by
2732    using the SSL_CONF library to configure compression.
2733
2734    *Emilia Käsper*
2735
2736  * The signature of the session callback configured with
2737    SSL_CTX_sess_set_get_cb was changed. The read-only input buffer
2738    was explicitly marked as 'const unsigned char*' instead of
2739    'unsigned char*'.
2740
2741    *Emilia Käsper*
2742
2743  * Always DPURIFY. Remove the use of uninitialized memory in the
2744    RNG, and other conditional uses of DPURIFY. This makes -DPURIFY a no-op.
2745
2746    *Emilia Käsper*
2747
2748  * Removed many obsolete configuration items, including
2749       DES_PTR, DES_RISC1, DES_RISC2, DES_INT
2750       MD2_CHAR, MD2_INT, MD2_LONG
2751       BF_PTR, BF_PTR2
2752       IDEA_SHORT, IDEA_LONG
2753       RC2_SHORT, RC2_LONG, RC4_LONG, RC4_CHUNK, RC4_INDEX
2754
2755    *Rich Salz, with advice from Andy Polyakov*
2756
2757  * Many BN internals have been moved to an internal header file.
2758
2759    *Rich Salz with help from Andy Polyakov*
2760
2761  * Configuration and writing out the results from it has changed.
2762    Files such as Makefile include/openssl/opensslconf.h and are now
2763    produced through general templates, such as Makefile.in and
2764    crypto/opensslconf.h.in and some help from the perl module
2765    Text::Template.
2766
2767    Also, the center of configuration information is no longer
2768    Makefile.  Instead, Configure produces a perl module in
2769    configdata.pm which holds most of the config data (in the hash
2770    table %config), the target data that comes from the target
2771    configuration in one of the Configurations/*.conf files (in
2772    %target).
2773
2774    *Richard Levitte*
2775
2776  * To clarify their intended purposes, the Configure options
2777    --prefix and --openssldir change their semantics, and become more
2778    straightforward and less interdependent.
2779
2780    --prefix shall be used exclusively to give the location INSTALLTOP
2781    where programs, scripts, libraries, include files and manuals are
2782    going to be installed.  The default is now /usr/local.
2783
2784    --openssldir shall be used exclusively to give the default
2785    location OPENSSLDIR where certificates, private keys, CRLs are
2786    managed.  This is also where the default openssl.cnf gets
2787    installed.
2788    If the directory given with this option is a relative path, the
2789    values of both the --prefix value and the --openssldir value will
2790    be combined to become OPENSSLDIR.
2791    The default for --openssldir is INSTALLTOP/ssl.
2792
2793    Anyone who uses --openssldir to specify where OpenSSL is to be
2794    installed MUST change to use --prefix instead.
2795
2796    *Richard Levitte*
2797
2798  * The GOST engine was out of date and therefore it has been removed. An up
2799    to date GOST engine is now being maintained in an external repository.
2800    See: https://wiki.openssl.org/index.php/Binaries. Libssl still retains
2801    support for GOST ciphersuites (these are only activated if a GOST engine
2802    is present).
2803
2804    *Matt Caswell*
2805
2806  * EGD is no longer supported by default; use enable-egd when
2807    configuring.
2808
2809    *Ben Kaduk and Rich Salz*
2810
2811  * The distribution now has Makefile.in files, which are used to
2812    create Makefile's when Configure is run.  *Configure must be run
2813    before trying to build now.*
2814
2815    *Rich Salz*
2816
2817  * The return value for SSL_CIPHER_description() for error conditions
2818    has changed.
2819
2820    *Rich Salz*
2821
2822  * Support for RFC6698/RFC7671 DANE TLSA peer authentication.
2823
2824    Obtaining and performing DNSSEC validation of TLSA records is
2825    the application's responsibility.  The application provides
2826    the TLSA records of its choice to OpenSSL, and these are then
2827    used to authenticate the peer.
2828
2829    The TLSA records need not even come from DNS.  They can, for
2830    example, be used to implement local end-entity certificate or
2831    trust-anchor "pinning", where the "pin" data takes the form
2832    of TLSA records, which can augment or replace verification
2833    based on the usual WebPKI public certification authorities.
2834
2835    *Viktor Dukhovni*
2836
2837  * Revert default OPENSSL_NO_DEPRECATED setting.  Instead OpenSSL
2838    continues to support deprecated interfaces in default builds.
2839    However, applications are strongly advised to compile their
2840    source files with -DOPENSSL_API_COMPAT=0x10100000L, which hides
2841    the declarations of all interfaces deprecated in 0.9.8, 1.0.0
2842    or the 1.1.0 releases.
2843
2844    In environments in which all applications have been ported to
2845    not use any deprecated interfaces OpenSSL's Configure script
2846    should be used with the --api=1.1.0 option to entirely remove
2847    support for the deprecated features from the library and
2848    unconditionally disable them in the installed headers.
2849    Essentially the same effect can be achieved with the "no-deprecated"
2850    argument to Configure, except that this will always restrict
2851    the build to just the latest API, rather than a fixed API
2852    version.
2853
2854    As applications are ported to future revisions of the API,
2855    they should update their compile-time OPENSSL_API_COMPAT define
2856    accordingly, but in most cases should be able to continue to
2857    compile with later releases.
2858
2859    The OPENSSL_API_COMPAT versions for 1.0.0, and 0.9.8 are
2860    0x10000000L and 0x00908000L, respectively.  However those
2861    versions did not support the OPENSSL_API_COMPAT feature, and
2862    so applications are not typically tested for explicit support
2863    of just the undeprecated features of either release.
2864
2865    *Viktor Dukhovni*
2866
2867  * Add support for setting the minimum and maximum supported protocol.
2868    It can bet set via the SSL_set_min_proto_version() and
2869    SSL_set_max_proto_version(), or via the SSL_CONF's MinProtocol and
2870    MaxProtocol.  It's recommended to use the new APIs to disable
2871    protocols instead of disabling individual protocols using
2872    SSL_set_options() or SSL_CONF's Protocol.  This change also
2873    removes support for disabling TLS 1.2 in the OpenSSL TLS
2874    client at compile time by defining OPENSSL_NO_TLS1_2_CLIENT.
2875
2876    *Kurt Roeckx*
2877
2878  * Support for ChaCha20 and Poly1305 added to libcrypto and libssl.
2879
2880    *Andy Polyakov*
2881
2882  * New EC_KEY_METHOD, this replaces the older ECDSA_METHOD and ECDH_METHOD
2883    and integrates ECDSA and ECDH functionality into EC. Implementations can
2884    now redirect key generation and no longer need to convert to or from
2885    ECDSA_SIG format.
2886
2887    Note: the ecdsa.h and ecdh.h headers are now no longer needed and just
2888    include the ec.h header file instead.
2889
2890    *Steve Henson*
2891
2892  * Remove support for all 40 and 56 bit ciphers.  This includes all the export
2893    ciphers who are no longer supported and drops support the ephemeral RSA key
2894    exchange. The LOW ciphers currently doesn't have any ciphers in it.
2895
2896    *Kurt Roeckx*
2897
2898  * Made EVP_MD_CTX, EVP_MD, EVP_CIPHER_CTX, EVP_CIPHER and HMAC_CTX
2899    opaque.  For HMAC_CTX, the following constructors and destructors
2900    were added:
2901
2902       HMAC_CTX *HMAC_CTX_new(void);
2903       void HMAC_CTX_free(HMAC_CTX *ctx);
2904
2905    For EVP_MD and EVP_CIPHER, complete APIs to create, fill and
2906    destroy such methods has been added.  See EVP_MD_meth_new(3) and
2907    EVP_CIPHER_meth_new(3) for documentation.
2908
2909    Additional changes:
2910    1) EVP_MD_CTX_cleanup(), EVP_CIPHER_CTX_cleanup() and
2911       HMAC_CTX_cleanup() were removed.  HMAC_CTX_reset() and
2912       EVP_MD_CTX_reset() should be called instead to reinitialise
2913       an already created structure.
2914    2) For consistency with the majority of our object creators and
2915       destructors, EVP_MD_CTX_(create|destroy) were renamed to
2916       EVP_MD_CTX_(new|free).  The old names are retained as macros
2917       for deprecated builds.
2918
2919    *Richard Levitte*
2920
2921  * Added ASYNC support. Libcrypto now includes the async sub-library to enable
2922    cryptographic operations to be performed asynchronously as long as an
2923    asynchronous capable engine is used. See the ASYNC_start_job() man page for
2924    further details. Libssl has also had this capability integrated with the
2925    introduction of the new mode SSL_MODE_ASYNC and associated error
2926    SSL_ERROR_WANT_ASYNC. See the SSL_CTX_set_mode() and SSL_get_error() man
2927    pages. This work was developed in partnership with Intel Corp.
2928
2929    *Matt Caswell*
2930
2931  * SSL_{CTX_}set_ecdh_auto() has been removed and ECDH is support is
2932    always enabled now.  If you want to disable the support you should
2933    exclude it using the list of supported ciphers. This also means that the
2934    "-no_ecdhe" option has been removed from s_server.
2935
2936    *Kurt Roeckx*
2937
2938  * SSL_{CTX}_set_tmp_ecdh() which can set 1 EC curve now internally calls
2939    SSL_{CTX_}set1_curves() which can set a list.
2940
2941    *Kurt Roeckx*
2942
2943  * Remove support for SSL_{CTX_}set_tmp_ecdh_callback().  You should set the
2944    curve you want to support using SSL_{CTX_}set1_curves().
2945
2946    *Kurt Roeckx*
2947
2948  * State machine rewrite. The state machine code has been significantly
2949    refactored in order to remove much duplication of code and solve issues
2950    with the old code (see ssl/statem/README for further details). This change
2951    does have some associated API changes. Notably the SSL_state() function
2952    has been removed and replaced by SSL_get_state which now returns an
2953    "OSSL_HANDSHAKE_STATE" instead of an int. SSL_set_state() has been removed
2954    altogether. The previous handshake states defined in ssl.h and ssl3.h have
2955    also been removed.
2956
2957    *Matt Caswell*
2958
2959  * All instances of the string "ssleay" in the public API were replaced
2960    with OpenSSL (case-matching; e.g., OPENSSL_VERSION for #define's)
2961    Some error codes related to internal RSA_eay API's were renamed.
2962
2963    *Rich Salz*
2964
2965  * The demo files in crypto/threads were moved to demo/threads.
2966
2967    *Rich Salz*
2968
2969  * Removed obsolete engines: 4758cca, aep, atalla, cswift, nuron, gmp,
2970    sureware and ubsec.
2971
2972    *Matt Caswell, Rich Salz*
2973
2974  * New ASN.1 embed macro.
2975
2976    New ASN.1 macro ASN1_EMBED. This is the same as ASN1_SIMPLE except the
2977    structure is not allocated: it is part of the parent. That is instead of
2978
2979            FOO *x;
2980
2981    it must be:
2982
2983            FOO x;
2984
2985    This reduces memory fragmentation and make it impossible to accidentally
2986    set a mandatory field to NULL.
2987
2988    This currently only works for some fields specifically a SEQUENCE, CHOICE,
2989    or ASN1_STRING type which is part of a parent SEQUENCE. Since it is
2990    equivalent to ASN1_SIMPLE it cannot be tagged, OPTIONAL, SET OF or
2991    SEQUENCE OF.
2992
2993    *Steve Henson*
2994
2995  * Remove EVP_CHECK_DES_KEY, a compile-time option that never compiled.
2996
2997    *Emilia Käsper*
2998
2999  * Removed DES and RC4 ciphersuites from DEFAULT. Also removed RC2 although
3000    in 1.0.2 EXPORT was already removed and the only RC2 ciphersuite is also
3001    an EXPORT one. COMPLEMENTOFDEFAULT has been updated accordingly to add
3002    DES and RC4 ciphersuites.
3003
3004    *Matt Caswell*
3005
3006  * Rewrite EVP_DecodeUpdate (base64 decoding) to fix several bugs.
3007    This changes the decoding behaviour for some invalid messages,
3008    though the change is mostly in the more lenient direction, and
3009    legacy behaviour is preserved as much as possible.
3010
3011    *Emilia Käsper*
3012
3013  * Fix no-stdio build.
3014    * David Woodhouse <David.Woodhouse@intel.com> and also
3015     Ivan Nestlerode <ivan.nestlerode@sonos.com> *
3016
3017  * New testing framework
3018    The testing framework has been largely rewritten and is now using
3019    perl and the perl modules Test::Harness and an extended variant of
3020    Test::More called OpenSSL::Test to do its work.  All test scripts in
3021    test/ have been rewritten into test recipes, and all direct calls to
3022    executables in test/Makefile have become individual recipes using the
3023    simplified testing OpenSSL::Test::Simple.
3024
3025    For documentation on our testing modules, do:
3026
3027            perldoc test/testlib/OpenSSL/Test/Simple.pm
3028            perldoc test/testlib/OpenSSL/Test.pm
3029
3030    *Richard Levitte*
3031
3032  * Revamped memory debug; only -DCRYPTO_MDEBUG and -DCRYPTO_MDEBUG_ABORT
3033    are used; the latter aborts on memory leaks (usually checked on exit).
3034    Some undocumented "set malloc, etc., hooks" functions were removed
3035    and others were changed.  All are now documented.
3036
3037    *Rich Salz*
3038
3039  * In DSA_generate_parameters_ex, if the provided seed is too short,
3040    return an error
3041
3042    *Rich Salz and Ismo Puustinen <ismo.puustinen@intel.com>*
3043
3044  * Rewrite PSK to support ECDHE_PSK, DHE_PSK and RSA_PSK. Add ciphersuites
3045    from RFC4279, RFC4785, RFC5487, RFC5489.
3046
3047    Thanks to Christian J. Dietrich and Giuseppe D'Angelo for the
3048    original RSA_PSK patch.
3049
3050    *Steve Henson*
3051
3052  * Dropped support for the SSL3_FLAGS_DELAY_CLIENT_FINISHED flag. This SSLeay
3053    era flag was never set throughout the codebase (only read). Also removed
3054    SSL3_FLAGS_POP_BUFFER which was only used if
3055    SSL3_FLAGS_DELAY_CLIENT_FINISHED was also set.
3056
3057    *Matt Caswell*
3058
3059  * Changed the default name options in the "ca", "crl", "req" and "x509"
3060    to be "oneline" instead of "compat".
3061
3062    *Richard Levitte*
3063
3064  * Remove SSL_OP_TLS_BLOCK_PADDING_BUG. This is SSLeay legacy, we're
3065    not aware of clients that still exhibit this bug, and the workaround
3066    hasn't been working properly for a while.
3067
3068    *Emilia Käsper*
3069
3070  * The return type of BIO_number_read() and BIO_number_written() as well as
3071    the corresponding num_read and num_write members in the BIO structure has
3072    changed from unsigned long to uint64_t. On platforms where an unsigned
3073    long is 32 bits (e.g. Windows) these counters could overflow if >4Gb is
3074    transferred.
3075
3076    *Matt Caswell*
3077
3078  * Given the pervasive nature of TLS extensions it is inadvisable to run
3079    OpenSSL without support for them. It also means that maintaining
3080    the OPENSSL_NO_TLSEXT option within the code is very invasive (and probably
3081    not well tested). Therefore the OPENSSL_NO_TLSEXT option has been removed.
3082
3083    *Matt Caswell*
3084
3085  * Removed support for the two export grade static DH ciphersuites
3086    EXP-DH-RSA-DES-CBC-SHA and EXP-DH-DSS-DES-CBC-SHA. These two ciphersuites
3087    were newly added (along with a number of other static DH ciphersuites) to
3088    1.0.2. However the two export ones have *never* worked since they were
3089    introduced. It seems strange in any case to be adding new export
3090    ciphersuites, and given "logjam" it also does not seem correct to fix them.
3091
3092    *Matt Caswell*
3093
3094  * Version negotiation has been rewritten. In particular SSLv23_method(),
3095    SSLv23_client_method() and SSLv23_server_method() have been deprecated,
3096    and turned into macros which simply call the new preferred function names
3097    TLS_method(), TLS_client_method() and TLS_server_method(). All new code
3098    should use the new names instead. Also as part of this change the ssl23.h
3099    header file has been removed.
3100
3101    *Matt Caswell*
3102
3103  * Support for Kerberos ciphersuites in TLS (RFC2712) has been removed. This
3104    code and the associated standard is no longer considered fit-for-purpose.
3105
3106    *Matt Caswell*
3107
3108  * RT2547 was closed.  When generating a private key, try to make the
3109    output file readable only by the owner.  This behavior change might
3110    be noticeable when interacting with other software.
3111
3112  * Documented all exdata functions.  Added CRYPTO_free_ex_index.
3113    Added a test.
3114
3115    *Rich Salz*
3116
3117  * Added HTTP GET support to the ocsp command.
3118
3119    *Rich Salz*
3120
3121  * Changed default digest for the dgst and enc commands from MD5 to
3122    sha256
3123
3124    *Rich Salz*
3125
3126  * RAND_pseudo_bytes has been deprecated. Users should use RAND_bytes instead.
3127
3128    *Matt Caswell*
3129
3130  * Added support for TLS extended master secret from
3131    draft-ietf-tls-session-hash-03.txt. Thanks for Alfredo Pironti for an
3132    initial patch which was a great help during development.
3133
3134    *Steve Henson*
3135
3136  * All libssl internal structures have been removed from the public header
3137    files, and the OPENSSL_NO_SSL_INTERN option has been removed (since it is
3138    now redundant). Users should not attempt to access internal structures
3139    directly. Instead they should use the provided API functions.
3140
3141    *Matt Caswell*
3142
3143  * config has been changed so that by default OPENSSL_NO_DEPRECATED is used.
3144    Access to deprecated functions can be re-enabled by running config with
3145    "enable-deprecated". In addition applications wishing to use deprecated
3146    functions must define OPENSSL_USE_DEPRECATED. Note that this new behaviour
3147    will, by default, disable some transitive includes that previously existed
3148    in the header files (e.g. ec.h will no longer, by default, include bn.h)
3149
3150    *Matt Caswell*
3151
3152  * Added support for OCB mode. OpenSSL has been granted a patent license
3153    compatible with the OpenSSL license for use of OCB. Details are available
3154    at https://www.openssl.org/source/OCB-patent-grant-OpenSSL.pdf. Support
3155    for OCB can be removed by calling config with no-ocb.
3156
3157    *Matt Caswell*
3158
3159  * SSLv2 support has been removed.  It still supports receiving a SSLv2
3160    compatible client hello.
3161
3162    *Kurt Roeckx*
3163
3164  * Increased the minimal RSA keysize from 256 to 512 bits [Rich Salz],
3165    done while fixing the error code for the key-too-small case.
3166
3167    *Annie Yousar <a.yousar@informatik.hu-berlin.de>*
3168
3169  * CA.sh has been removed; use CA.pl instead.
3170
3171    *Rich Salz*
3172
3173  * Removed old DES API.
3174
3175    *Rich Salz*
3176
3177  * Remove various unsupported platforms:
3178       Sony NEWS4
3179       BEOS and BEOS_R5
3180       NeXT
3181       SUNOS
3182       MPE/iX
3183       Sinix/ReliantUNIX RM400
3184       DGUX
3185       NCR
3186       Tandem
3187       Cray
3188       16-bit platforms such as WIN16
3189
3190    *Rich Salz*
3191
3192  * Clean up OPENSSL_NO_xxx #define's
3193     - Use setbuf() and remove OPENSSL_NO_SETVBUF_IONBF
3194     - Rename OPENSSL_SYSNAME_xxx to OPENSSL_SYS_xxx
3195     - OPENSSL_NO_EC{DH,DSA} merged into OPENSSL_NO_EC
3196     - OPENSSL_NO_RIPEMD160, OPENSSL_NO_RIPEMD merged into OPENSSL_NO_RMD160
3197     - OPENSSL_NO_FP_API merged into OPENSSL_NO_STDIO
3198     - Remove OPENSSL_NO_BIO OPENSSL_NO_BUFFER OPENSSL_NO_CHAIN_VERIFY
3199       OPENSSL_NO_EVP OPENSSL_NO_FIPS_ERR OPENSSL_NO_HASH_COMP
3200       OPENSSL_NO_LHASH OPENSSL_NO_OBJECT OPENSSL_NO_SPEED OPENSSL_NO_STACK
3201       OPENSSL_NO_X509 OPENSSL_NO_X509_VERIFY
3202     - Remove MS_STATIC; it's a relic from platforms <32 bits.
3203
3204    *Rich Salz*
3205
3206  * Cleaned up dead code
3207      Remove all but one '#ifdef undef' which is to be looked at.
3208
3209    *Rich Salz*
3210
3211  * Clean up calling of xxx_free routines.
3212       Just like free(), fix most of the xxx_free routines to accept
3213       NULL.  Remove the non-null checks from callers.  Save much code.
3214
3215    *Rich Salz*
3216
3217  * Add secure heap for storage of private keys (when possible).
3218    Add BIO_s_secmem(), CBIGNUM, etc.
3219    Contributed by Akamai Technologies under our Corporate CLA.
3220
3221    *Rich Salz*
3222
3223  * Experimental support for a new, fast, unbiased prime candidate generator,
3224    bn_probable_prime_dh_coprime(). Not currently used by any prime generator.
3225
3226    *Felix Laurie von Massenbach <felix@erbridge.co.uk>*
3227
3228  * New output format NSS in the sess_id command line tool. This allows
3229    exporting the session id and the master key in NSS keylog format.
3230
3231    *Martin Kaiser <martin@kaiser.cx>*
3232
3233  * Harmonize version and its documentation. -f flag is used to display
3234    compilation flags.
3235
3236    *mancha <mancha1@zoho.com>*
3237
3238  * Fix eckey_priv_encode so it immediately returns an error upon a failure
3239    in i2d_ECPrivateKey.  Thanks to Ted Unangst for feedback on this issue.
3240
3241    *mancha <mancha1@zoho.com>*
3242
3243  * Fix some double frees. These are not thought to be exploitable.
3244
3245    *mancha <mancha1@zoho.com>*
3246
3247  * A missing bounds check in the handling of the TLS heartbeat extension
3248    can be used to reveal up to 64k of memory to a connected client or
3249    server.
3250
3251    Thanks for Neel Mehta of Google Security for discovering this bug and to
3252    Adam Langley <agl@chromium.org> and Bodo Moeller <bmoeller@acm.org> for
3253    preparing the fix [CVE-2014-0160][]
3254
3255    *Adam Langley, Bodo Moeller*
3256
3257  * Fix for the attack described in the paper "Recovering OpenSSL
3258    ECDSA Nonces Using the FLUSH+RELOAD Cache Side-channel Attack"
3259    by Yuval Yarom and Naomi Benger. Details can be obtained from:
3260    http://eprint.iacr.org/2014/140
3261
3262    Thanks to Yuval Yarom and Naomi Benger for discovering this
3263    flaw and to Yuval Yarom for supplying a fix [CVE-2014-0076][]
3264
3265    *Yuval Yarom and Naomi Benger*
3266
3267  * Use algorithm specific chains in SSL_CTX_use_certificate_chain_file():
3268    this fixes a limitation in previous versions of OpenSSL.
3269
3270    *Steve Henson*
3271
3272  * Experimental encrypt-then-mac support.
3273
3274    Experimental support for encrypt then mac from
3275    draft-gutmann-tls-encrypt-then-mac-02.txt
3276
3277    To enable it set the appropriate extension number (0x42 for the test
3278    server) using e.g. -DTLSEXT_TYPE_encrypt_then_mac=0x42
3279
3280    For non-compliant peers (i.e. just about everything) this should have no
3281    effect.
3282
3283    WARNING: EXPERIMENTAL, SUBJECT TO CHANGE.
3284
3285
3286    *Steve Henson*
3287
3288  * Add EVP support for key wrapping algorithms, to avoid problems with
3289    existing code the flag EVP_CIPHER_CTX_WRAP_ALLOW has to be set in
3290    the EVP_CIPHER_CTX or an error is returned. Add AES and DES3 wrap
3291    algorithms and include tests cases.
3292
3293    *Steve Henson*
3294
3295  * Extend CMS code to support RSA-PSS signatures and RSA-OAEP for
3296    enveloped data.
3297
3298    *Steve Henson*
3299
3300  * Extended RSA OAEP support via EVP_PKEY API. Options to specify digest,
3301    MGF1 digest and OAEP label.
3302
3303    *Steve Henson*
3304
3305  * Make openssl verify return errors.
3306
3307    *Chris Palmer <palmer@google.com> and Ben Laurie*
3308
3309  * New function ASN1_TIME_diff to calculate the difference between two
3310    ASN1_TIME structures or one structure and the current time.
3311
3312    *Steve Henson*
3313
3314  * Update fips_test_suite to support multiple command line options. New
3315    test to induce all self test errors in sequence and check expected
3316    failures.
3317
3318    *Steve Henson*
3319
3320  * Add FIPS_{rsa,dsa,ecdsa}_{sign,verify} functions which digest and
3321    sign or verify all in one operation.
3322
3323    *Steve Henson*
3324
3325  * Add fips_algvs: a multicall fips utility incorporating all the algorithm
3326    test programs and fips_test_suite. Includes functionality to parse
3327    the minimal script output of fipsalgest.pl directly.
3328
3329    *Steve Henson*
3330
3331  * Add authorisation parameter to FIPS_module_mode_set().
3332
3333    *Steve Henson*
3334
3335  * Add FIPS selftest for ECDH algorithm using P-224 and B-233 curves.
3336
3337    *Steve Henson*
3338
3339  * Use separate DRBG fields for internal and external flags. New function
3340    FIPS_drbg_health_check() to perform on demand health checking. Add
3341    generation tests to fips_test_suite with reduced health check interval to
3342    demonstrate periodic health checking. Add "nodh" option to
3343    fips_test_suite to skip very slow DH test.
3344
3345    *Steve Henson*
3346
3347  * New function FIPS_get_cipherbynid() to lookup FIPS supported ciphers
3348    based on NID.
3349
3350    *Steve Henson*
3351
3352  * More extensive health check for DRBG checking many more failure modes.
3353    New function FIPS_selftest_drbg_all() to handle every possible DRBG
3354    combination: call this in fips_test_suite.
3355
3356    *Steve Henson*
3357
3358  * Add support for canonical generation of DSA parameter 'g'. See
3359    FIPS 186-3 A.2.3.
3360
3361  * Add support for HMAC DRBG from SP800-90. Update DRBG algorithm test and
3362    POST to handle HMAC cases.
3363
3364    *Steve Henson*
3365
3366  * Add functions FIPS_module_version() and FIPS_module_version_text()
3367    to return numerical and string versions of the FIPS module number.
3368
3369    *Steve Henson*
3370
3371  * Rename FIPS_mode_set and FIPS_mode to FIPS_module_mode_set and
3372    FIPS_module_mode. FIPS_mode and FIPS_mode_set will be implemented
3373    outside the validated module in the FIPS capable OpenSSL.
3374
3375    *Steve Henson*
3376
3377  * Minor change to DRBG entropy callback semantics. In some cases
3378    there is no multiple of the block length between min_len and
3379    max_len. Allow the callback to return more than max_len bytes
3380    of entropy but discard any extra: it is the callback's responsibility
3381    to ensure that the extra data discarded does not impact the
3382    requested amount of entropy.
3383
3384    *Steve Henson*
3385
3386  * Add PRNG security strength checks to RSA, DSA and ECDSA using
3387    information in FIPS186-3, SP800-57 and SP800-131A.
3388
3389    *Steve Henson*
3390
3391  * CCM support via EVP. Interface is very similar to GCM case except we
3392    must supply all data in one chunk (i.e. no update, final) and the
3393    message length must be supplied if AAD is used. Add algorithm test
3394    support.
3395
3396    *Steve Henson*
3397
3398  * Initial version of POST overhaul. Add POST callback to allow the status
3399    of POST to be monitored and/or failures induced. Modify fips_test_suite
3400    to use callback. Always run all selftests even if one fails.
3401
3402    *Steve Henson*
3403
3404  * XTS support including algorithm test driver in the fips_gcmtest program.
3405    Note: this does increase the maximum key length from 32 to 64 bytes but
3406    there should be no binary compatibility issues as existing applications
3407    will never use XTS mode.
3408
3409    *Steve Henson*
3410
3411  * Extensive reorganisation of FIPS PRNG behaviour. Remove all dependencies
3412    to OpenSSL RAND code and replace with a tiny FIPS RAND API which also
3413    performs algorithm blocking for unapproved PRNG types. Also do not
3414    set PRNG type in FIPS_mode_set(): leave this to the application.
3415    Add default OpenSSL DRBG handling: sets up FIPS PRNG and seeds with
3416    the standard OpenSSL PRNG: set additional data to a date time vector.
3417
3418    *Steve Henson*
3419
3420  * Rename old X9.31 PRNG functions of the form FIPS_rand* to FIPS_x931*.
3421    This shouldn't present any incompatibility problems because applications
3422    shouldn't be using these directly and any that are will need to rethink
3423    anyway as the X9.31 PRNG is now deprecated by FIPS 140-2
3424
3425    *Steve Henson*
3426
3427  * Extensive self tests and health checking required by SP800-90 DRBG.
3428    Remove strength parameter from FIPS_drbg_instantiate and always
3429    instantiate at maximum supported strength.
3430
3431    *Steve Henson*
3432
3433  * Add ECDH code to fips module and fips_ecdhvs for primitives only testing.
3434
3435    *Steve Henson*
3436
3437  * New algorithm test program fips_dhvs to handle DH primitives only testing.
3438
3439    *Steve Henson*
3440
3441  * New function DH_compute_key_padded() to compute a DH key and pad with
3442    leading zeroes if needed: this complies with SP800-56A et al.
3443
3444    *Steve Henson*
3445
3446  * Initial implementation of SP800-90 DRBGs for Hash and CTR. Not used by
3447    anything, incomplete, subject to change and largely untested at present.
3448
3449    *Steve Henson*
3450
3451  * Modify fipscanisteronly build option to only build the necessary object
3452    files by filtering FIPS_EX_OBJ through a perl script in crypto/Makefile.
3453
3454    *Steve Henson*
3455
3456  * Add experimental option FIPSSYMS to give all symbols in
3457    fipscanister.o and FIPS or fips prefix. This will avoid
3458    conflicts with future versions of OpenSSL. Add perl script
3459    util/fipsas.pl to preprocess assembly language source files
3460    and rename any affected symbols.
3461
3462    *Steve Henson*
3463
3464  * Add selftest checks and algorithm block of non-fips algorithms in
3465    FIPS mode. Remove DES2 from selftests.
3466
3467    *Steve Henson*
3468
3469  * Add ECDSA code to fips module. Add tiny fips_ecdsa_check to just
3470    return internal method without any ENGINE dependencies. Add new
3471    tiny fips sign and verify functions.
3472
3473    *Steve Henson*
3474
3475  * New build option no-ec2m to disable characteristic 2 code.
3476
3477    *Steve Henson*
3478
3479  * New build option "fipscanisteronly". This only builds fipscanister.o
3480    and (currently) associated fips utilities. Uses the file Makefile.fips
3481    instead of Makefile.org as the prototype.
3482
3483    *Steve Henson*
3484
3485  * Add some FIPS mode restrictions to GCM. Add internal IV generator.
3486    Update fips_gcmtest to use IV generator.
3487
3488    *Steve Henson*
3489
3490  * Initial, experimental EVP support for AES-GCM. AAD can be input by
3491    setting output buffer to NULL. The *Final function must be
3492    called although it will not retrieve any additional data. The tag
3493    can be set or retrieved with a ctrl. The IV length is by default 12
3494    bytes (96 bits) but can be set to an alternative value. If the IV
3495    length exceeds the maximum IV length (currently 16 bytes) it cannot be
3496    set before the key.
3497
3498    *Steve Henson*
3499
3500  * New flag in ciphers: EVP_CIPH_FLAG_CUSTOM_CIPHER. This means the
3501    underlying do_cipher function handles all cipher semantics itself
3502    including padding and finalisation. This is useful if (for example)
3503    an ENGINE cipher handles block padding itself. The behaviour of
3504    do_cipher is subtly changed if this flag is set: the return value
3505    is the number of characters written to the output buffer (zero is
3506    no longer an error code) or a negative error code. Also if the
3507    input buffer is NULL and length 0 finalisation should be performed.
3508
3509    *Steve Henson*
3510
3511  * If a candidate issuer certificate is already part of the constructed
3512    path ignore it: new debug notification X509_V_ERR_PATH_LOOP for this case.
3513
3514    *Steve Henson*
3515
3516  * Improve forward-security support: add functions
3517
3518            void SSL_CTX_set_not_resumable_session_callback(
3519                     SSL_CTX *ctx, int (*cb)(SSL *ssl, int is_forward_secure))
3520            void SSL_set_not_resumable_session_callback(
3521                     SSL *ssl, int (*cb)(SSL *ssl, int is_forward_secure))
3522
3523    for use by SSL/TLS servers; the callback function will be called whenever a
3524    new session is created, and gets to decide whether the session may be
3525    cached to make it resumable (return 0) or not (return 1).  (As by the
3526    SSL/TLS protocol specifications, the session_id sent by the server will be
3527    empty to indicate that the session is not resumable; also, the server will
3528    not generate RFC 4507 (RFC 5077) session tickets.)
3529
3530    A simple reasonable callback implementation is to return is_forward_secure.
3531    This parameter will be set to 1 or 0 depending on the ciphersuite selected
3532    by the SSL/TLS server library, indicating whether it can provide forward
3533    security.
3534
3535    *Emilia Käsper <emilia.kasper@esat.kuleuven.be> (Google)*
3536
3537  * New -verify_name option in command line utilities to set verification
3538    parameters by name.
3539
3540    *Steve Henson*
3541
3542  * Initial CMAC implementation. WARNING: EXPERIMENTAL, API MAY CHANGE.
3543    Add CMAC pkey methods.
3544
3545    *Steve Henson*
3546
3547  * Experimental renegotiation in s_server -www mode. If the client
3548    browses /reneg connection is renegotiated. If /renegcert it is
3549    renegotiated requesting a certificate.
3550
3551    *Steve Henson*
3552
3553  * Add an "external" session cache for debugging purposes to s_server. This
3554    should help trace issues which normally are only apparent in deployed
3555    multi-process servers.
3556
3557    *Steve Henson*
3558
3559  * Extensive audit of libcrypto with DEBUG_UNUSED. Fix many cases where
3560    return value is ignored. NB. The functions RAND_add(), RAND_seed(),
3561    BIO_set_cipher() and some obscure PEM functions were changed so they
3562    can now return an error. The RAND changes required a change to the
3563    RAND_METHOD structure.
3564
3565    *Steve Henson*
3566
3567  * New macro `__owur` for "OpenSSL Warn Unused Result". This makes use of
3568    a gcc attribute to warn if the result of a function is ignored. This
3569    is enable if DEBUG_UNUSED is set. Add to several functions in evp.h
3570    whose return value is often ignored.
3571
3572    *Steve Henson*
3573
3574  * New -noct, -requestct, -requirect and -ctlogfile options for s_client.
3575    These allow SCTs (signed certificate timestamps) to be requested and
3576    validated when establishing a connection.
3577
3578    *Rob Percival <robpercival@google.com>*
3579
3580 OpenSSL 1.0.2
3581 -------------
3582
3583 ### Changes between 1.0.2s and 1.0.2t [10 Sep 2019] ###
3584
3585  * For built-in EC curves, ensure an EC_GROUP built from the curve name is
3586    used even when parsing explicit parameters, when loading a serialized key
3587    or calling `EC_GROUP_new_from_ecpkparameters()`/
3588    `EC_GROUP_new_from_ecparameters()`.
3589    This prevents bypass of security hardening and performance gains,
3590    especially for curves with specialized EC_METHODs.
3591    By default, if a key encoded with explicit parameters is loaded and later
3592    serialized, the output is still encoded with explicit parameters, even if
3593    internally a "named" EC_GROUP is used for computation.
3594
3595    *Nicola Tuveri*
3596
3597  * Compute ECC cofactors if not provided during EC_GROUP construction. Before
3598    this change, EC_GROUP_set_generator would accept order and/or cofactor as
3599    NULL. After this change, only the cofactor parameter can be NULL. It also
3600    does some minimal sanity checks on the passed order.
3601    [CVE-2019-1547][]
3602
3603    *Billy Bob Brumley*
3604
3605  * Fixed a padding oracle in PKCS7_dataDecode and CMS_decrypt_set1_pkey.
3606    An attack is simple, if the first CMS_recipientInfo is valid but the
3607    second CMS_recipientInfo is chosen ciphertext. If the second
3608    recipientInfo decodes to PKCS #1 v1.5 form plaintext, the correct
3609    encryption key will be replaced by garbage, and the message cannot be
3610    decoded, but if the RSA decryption fails, the correct encryption key is
3611    used and the recipient will not notice the attack.
3612    As a work around for this potential attack the length of the decrypted
3613    key must be equal to the cipher default key length, in case the
3614    certifiate is not given and all recipientInfo are tried out.
3615    The old behaviour can be re-enabled in the CMS code by setting the
3616    CMS_DEBUG_DECRYPT flag.
3617    [CVE-2019-1563][]
3618
3619    *Bernd Edlinger*
3620
3621  * Document issue with installation paths in diverse Windows builds
3622
3623    '/usr/local/ssl' is an unsafe prefix for location to install OpenSSL
3624    binaries and run-time config file.
3625    [CVE-2019-1552][]
3626
3627    *Richard Levitte*
3628
3629 ### Changes between 1.0.2r and 1.0.2s [28 May 2019] ###
3630
3631  * Change the default RSA, DSA and DH size to 2048 bit instead of 1024.
3632    This changes the size when using the genpkey app when no size is given. It
3633    fixes an omission in earlier changes that changed all RSA, DSA and DH
3634    generation apps to use 2048 bits by default.
3635
3636    *Kurt Roeckx*
3637
3638  * Add FIPS support for Android Arm 64-bit
3639
3640    Support for Android Arm 64-bit was added to the OpenSSL FIPS Object
3641    Module in Version 2.0.10. For some reason, the corresponding target
3642    'android64-aarch64' was missing OpenSSL 1.0.2, whence it could not be
3643    built with FIPS support on Android Arm 64-bit. This omission has been
3644    fixed.
3645
3646    *Matthias St. Pierre*
3647
3648 ### Changes between 1.0.2q and 1.0.2r [26 Feb 2019] ###
3649
3650  * 0-byte record padding oracle
3651
3652    If an application encounters a fatal protocol error and then calls
3653    SSL_shutdown() twice (once to send a close_notify, and once to receive one)
3654    then OpenSSL can respond differently to the calling application if a 0 byte
3655    record is received with invalid padding compared to if a 0 byte record is
3656    received with an invalid MAC. If the application then behaves differently
3657    based on that in a way that is detectable to the remote peer, then this
3658    amounts to a padding oracle that could be used to decrypt data.
3659
3660    In order for this to be exploitable "non-stitched" ciphersuites must be in
3661    use. Stitched ciphersuites are optimised implementations of certain
3662    commonly used ciphersuites. Also the application must call SSL_shutdown()
3663    twice even if a protocol error has occurred (applications should not do
3664    this but some do anyway).
3665
3666    This issue was discovered by Juraj Somorovsky, Robert Merget and Nimrod
3667    Aviram, with additional investigation by Steven Collison and Andrew
3668    Hourselt. It was reported to OpenSSL on 10th December 2018.
3669    [CVE-2019-1559][]
3670
3671    *Matt Caswell*
3672
3673  * Move strictness check from EVP_PKEY_asn1_new() to EVP_PKEY_asn1_add0().
3674
3675    *Richard Levitte*
3676
3677 ### Changes between 1.0.2p and 1.0.2q [20 Nov 2018] ###
3678
3679  * Microarchitecture timing vulnerability in ECC scalar multiplication
3680
3681    OpenSSL ECC scalar multiplication, used in e.g. ECDSA and ECDH, has been
3682    shown to be vulnerable to a microarchitecture timing side channel attack.
3683    An attacker with sufficient access to mount local timing attacks during
3684    ECDSA signature generation could recover the private key.
3685
3686    This issue was reported to OpenSSL on 26th October 2018 by Alejandro
3687    Cabrera Aldaya, Billy Brumley, Sohaib ul Hassan, Cesar Pereida Garcia and
3688    Nicola Tuveri.
3689    [CVE-2018-5407][]
3690
3691    *Billy Brumley*
3692
3693  * Timing vulnerability in DSA signature generation
3694
3695    The OpenSSL DSA signature algorithm has been shown to be vulnerable to a
3696    timing side channel attack. An attacker could use variations in the signing
3697    algorithm to recover the private key.
3698
3699    This issue was reported to OpenSSL on 16th October 2018 by Samuel Weiser.
3700    [CVE-2018-0734][]
3701
3702    *Paul Dale*
3703
3704  * Resolve a compatibility issue in EC_GROUP handling with the FIPS Object
3705    Module, accidentally introduced while backporting security fixes from the
3706    development branch and hindering the use of ECC in FIPS mode.
3707
3708    *Nicola Tuveri*
3709
3710 ### Changes between 1.0.2o and 1.0.2p [14 Aug 2018] ###
3711
3712  * Client DoS due to large DH parameter
3713
3714    During key agreement in a TLS handshake using a DH(E) based ciphersuite a
3715    malicious server can send a very large prime value to the client. This will
3716    cause the client to spend an unreasonably long period of time generating a
3717    key for this prime resulting in a hang until the client has finished. This
3718    could be exploited in a Denial Of Service attack.
3719
3720    This issue was reported to OpenSSL on 5th June 2018 by Guido Vranken
3721    [CVE-2018-0732][]
3722
3723    *Guido Vranken*
3724
3725  * Cache timing vulnerability in RSA Key Generation
3726
3727    The OpenSSL RSA Key generation algorithm has been shown to be vulnerable to
3728    a cache timing side channel attack. An attacker with sufficient access to
3729    mount cache timing attacks during the RSA key generation process could
3730    recover the private key.
3731
3732    This issue was reported to OpenSSL on 4th April 2018 by Alejandro Cabrera
3733    Aldaya, Billy Brumley, Cesar Pereida Garcia and Luis Manuel Alvarez Tapia.
3734    [CVE-2018-0737][]
3735
3736    *Billy Brumley*
3737
3738  * Make EVP_PKEY_asn1_new() a bit stricter about its input.  A NULL pem_str
3739    parameter is no longer accepted, as it leads to a corrupt table.  NULL
3740    pem_str is reserved for alias entries only.
3741
3742    *Richard Levitte*
3743
3744  * Revert blinding in ECDSA sign and instead make problematic addition
3745    length-invariant. Switch even to fixed-length Montgomery multiplication.
3746
3747    *Andy Polyakov*
3748
3749  * Change generating and checking of primes so that the error rate of not
3750    being prime depends on the intended use based on the size of the input.
3751    For larger primes this will result in more rounds of Miller-Rabin.
3752    The maximal error rate for primes with more than 1080 bits is lowered
3753    to 2^-128.
3754
3755    *Kurt Roeckx, Annie Yousar*
3756
3757  * Increase the number of Miller-Rabin rounds for DSA key generating to 64.
3758
3759    *Kurt Roeckx*
3760
3761  * Add blinding to ECDSA and DSA signatures to protect against side channel
3762    attacks discovered by Keegan Ryan (NCC Group).
3763
3764    *Matt Caswell*
3765
3766  * When unlocking a pass phrase protected PEM file or PKCS#8 container, we
3767    now allow empty (zero character) pass phrases.
3768
3769    *Richard Levitte*
3770
3771  * Certificate time validation (X509_cmp_time) enforces stricter
3772    compliance with RFC 5280. Fractional seconds and timezone offsets
3773    are no longer allowed.
3774
3775    *Emilia Käsper*
3776
3777 ### Changes between 1.0.2n and 1.0.2o [27 Mar 2018] ###
3778
3779  * Constructed ASN.1 types with a recursive definition could exceed the stack
3780
3781    Constructed ASN.1 types with a recursive definition (such as can be found
3782    in PKCS7) could eventually exceed the stack given malicious input with
3783    excessive recursion. This could result in a Denial Of Service attack. There
3784    are no such structures used within SSL/TLS that come from untrusted sources
3785    so this is considered safe.
3786
3787    This issue was reported to OpenSSL on 4th January 2018 by the OSS-fuzz
3788    project.
3789    [CVE-2018-0739][]
3790
3791    *Matt Caswell*
3792
3793 ### Changes between 1.0.2m and 1.0.2n [7 Dec 2017] ###
3794
3795  * Read/write after SSL object in error state
3796
3797    OpenSSL 1.0.2 (starting from version 1.0.2b) introduced an "error state"
3798    mechanism. The intent was that if a fatal error occurred during a handshake
3799    then OpenSSL would move into the error state and would immediately fail if
3800    you attempted to continue the handshake. This works as designed for the
3801    explicit handshake functions (SSL_do_handshake(), SSL_accept() and
3802    SSL_connect()), however due to a bug it does not work correctly if
3803    SSL_read() or SSL_write() is called directly. In that scenario, if the
3804    handshake fails then a fatal error will be returned in the initial function
3805    call. If SSL_read()/SSL_write() is subsequently called by the application
3806    for the same SSL object then it will succeed and the data is passed without
3807    being decrypted/encrypted directly from the SSL/TLS record layer.
3808
3809    In order to exploit this issue an application bug would have to be present
3810    that resulted in a call to SSL_read()/SSL_write() being issued after having
3811    already received a fatal error.
3812
3813    This issue was reported to OpenSSL by David Benjamin (Google).
3814    [CVE-2017-3737][]
3815
3816    *Matt Caswell*
3817
3818  * rsaz_1024_mul_avx2 overflow bug on x86_64
3819
3820    There is an overflow bug in the AVX2 Montgomery multiplication procedure
3821    used in exponentiation with 1024-bit moduli. No EC algorithms are affected.
3822    Analysis suggests that attacks against RSA and DSA as a result of this
3823    defect would be very difficult to perform and are not believed likely.
3824    Attacks against DH1024 are considered just feasible, because most of the
3825    work necessary to deduce information about a private key may be performed
3826    offline. The amount of resources required for such an attack would be
3827    significant. However, for an attack on TLS to be meaningful, the server
3828    would have to share the DH1024 private key among multiple clients, which is
3829    no longer an option since CVE-2016-0701.
3830
3831    This only affects processors that support the AVX2 but not ADX extensions
3832    like Intel Haswell (4th generation).
3833
3834    This issue was reported to OpenSSL by David Benjamin (Google). The issue
3835    was originally found via the OSS-Fuzz project.
3836    [CVE-2017-3738][]
3837
3838    *Andy Polyakov*
3839
3840 ### Changes between 1.0.2l and 1.0.2m [2 Nov 2017] ###
3841
3842  * bn_sqrx8x_internal carry bug on x86_64
3843
3844    There is a carry propagating bug in the x86_64 Montgomery squaring
3845    procedure. No EC algorithms are affected. Analysis suggests that attacks
3846    against RSA and DSA as a result of this defect would be very difficult to
3847    perform and are not believed likely. Attacks against DH are considered just
3848    feasible (although very difficult) because most of the work necessary to
3849    deduce information about a private key may be performed offline. The amount
3850    of resources required for such an attack would be very significant and
3851    likely only accessible to a limited number of attackers. An attacker would
3852    additionally need online access to an unpatched system using the target
3853    private key in a scenario with persistent DH parameters and a private
3854    key that is shared between multiple clients.
3855
3856    This only affects processors that support the BMI1, BMI2 and ADX extensions
3857    like Intel Broadwell (5th generation) and later or AMD Ryzen.
3858
3859    This issue was reported to OpenSSL by the OSS-Fuzz project.
3860    [CVE-2017-3736][]
3861
3862    *Andy Polyakov*
3863
3864  * Malformed X.509 IPAddressFamily could cause OOB read
3865
3866    If an X.509 certificate has a malformed IPAddressFamily extension,
3867    OpenSSL could do a one-byte buffer overread. The most likely result
3868    would be an erroneous display of the certificate in text format.
3869
3870    This issue was reported to OpenSSL by the OSS-Fuzz project.
3871    [CVE-2017-3735][]
3872
3873    *Rich Salz*
3874
3875 ### Changes between 1.0.2k and 1.0.2l [25 May 2017] ###
3876
3877  * Have 'config' recognise 64-bit mingw and choose 'mingw64' as the target
3878    platform rather than 'mingw'.
3879
3880    *Richard Levitte*
3881
3882 ### Changes between 1.0.2j and 1.0.2k [26 Jan 2017] ###
3883
3884  * Truncated packet could crash via OOB read
3885
3886    If one side of an SSL/TLS path is running on a 32-bit host and a specific
3887    cipher is being used, then a truncated packet can cause that host to
3888    perform an out-of-bounds read, usually resulting in a crash.
3889
3890    This issue was reported to OpenSSL by Robert Święcki of Google.
3891    [CVE-2017-3731][]
3892
3893    *Andy Polyakov*
3894
3895  * BN_mod_exp may produce incorrect results on x86_64
3896
3897    There is a carry propagating bug in the x86_64 Montgomery squaring
3898    procedure. No EC algorithms are affected. Analysis suggests that attacks
3899    against RSA and DSA as a result of this defect would be very difficult to
3900    perform and are not believed likely. Attacks against DH are considered just
3901    feasible (although very difficult) because most of the work necessary to
3902    deduce information about a private key may be performed offline. The amount
3903    of resources required for such an attack would be very significant and
3904    likely only accessible to a limited number of attackers. An attacker would
3905    additionally need online access to an unpatched system using the target
3906    private key in a scenario with persistent DH parameters and a private
3907    key that is shared between multiple clients. For example this can occur by
3908    default in OpenSSL DHE based SSL/TLS ciphersuites. Note: This issue is very
3909    similar to CVE-2015-3193 but must be treated as a separate problem.
3910
3911    This issue was reported to OpenSSL by the OSS-Fuzz project.
3912    [CVE-2017-3732][]
3913
3914    *Andy Polyakov*
3915
3916  * Montgomery multiplication may produce incorrect results
3917
3918    There is a carry propagating bug in the Broadwell-specific Montgomery
3919    multiplication procedure that handles input lengths divisible by, but
3920    longer than 256 bits. Analysis suggests that attacks against RSA, DSA
3921    and DH private keys are impossible. This is because the subroutine in
3922    question is not used in operations with the private key itself and an input
3923    of the attacker's direct choice. Otherwise the bug can manifest itself as
3924    transient authentication and key negotiation failures or reproducible
3925    erroneous outcome of public-key operations with specially crafted input.
3926    Among EC algorithms only Brainpool P-512 curves are affected and one
3927    presumably can attack ECDH key negotiation. Impact was not analyzed in
3928    detail, because pre-requisites for attack are considered unlikely. Namely
3929    multiple clients have to choose the curve in question and the server has to
3930    share the private key among them, neither of which is default behaviour.
3931    Even then only clients that chose the curve will be affected.
3932
3933    This issue was publicly reported as transient failures and was not
3934    initially recognized as a security issue. Thanks to Richard Morgan for
3935    providing reproducible case.
3936    [CVE-2016-7055][]
3937
3938    *Andy Polyakov*
3939
3940  * OpenSSL now fails if it receives an unrecognised record type in TLS1.0
3941    or TLS1.1. Previously this only happened in SSLv3 and TLS1.2. This is to
3942    prevent issues where no progress is being made and the peer continually
3943    sends unrecognised record types, using up resources processing them.
3944
3945    *Matt Caswell*
3946
3947 ### Changes between 1.0.2i and 1.0.2j [26 Sep 2016] ###
3948
3949  * Missing CRL sanity check
3950
3951    A bug fix which included a CRL sanity check was added to OpenSSL 1.1.0
3952    but was omitted from OpenSSL 1.0.2i. As a result any attempt to use
3953    CRLs in OpenSSL 1.0.2i will crash with a null pointer exception.
3954
3955    This issue only affects the OpenSSL 1.0.2i
3956    [CVE-2016-7052][]
3957
3958    *Matt Caswell*
3959
3960 ### Changes between 1.0.2h and 1.0.2i [22 Sep 2016] ###
3961
3962  * OCSP Status Request extension unbounded memory growth
3963
3964    A malicious client can send an excessively large OCSP Status Request
3965    extension. If that client continually requests renegotiation, sending a
3966    large OCSP Status Request extension each time, then there will be unbounded
3967    memory growth on the server. This will eventually lead to a Denial Of
3968    Service attack through memory exhaustion. Servers with a default
3969    configuration are vulnerable even if they do not support OCSP. Builds using
3970    the "no-ocsp" build time option are not affected.
3971
3972    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
3973    [CVE-2016-6304][]
3974
3975    *Matt Caswell*
3976
3977  * In order to mitigate the SWEET32 attack, the DES ciphers were moved from
3978    HIGH to MEDIUM.
3979
3980    This issue was reported to OpenSSL Karthikeyan Bhargavan and Gaetan
3981    Leurent (INRIA)
3982    [CVE-2016-2183][]
3983
3984    *Rich Salz*
3985
3986  * OOB write in MDC2_Update()
3987
3988    An overflow can occur in MDC2_Update() either if called directly or
3989    through the EVP_DigestUpdate() function using MDC2. If an attacker
3990    is able to supply very large amounts of input data after a previous
3991    call to EVP_EncryptUpdate() with a partial block then a length check
3992    can overflow resulting in a heap corruption.
3993
3994    The amount of data needed is comparable to SIZE_MAX which is impractical
3995    on most platforms.
3996
3997    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
3998    [CVE-2016-6303][]
3999
4000    *Stephen Henson*
4001
4002  * Malformed SHA512 ticket DoS
4003
4004    If a server uses SHA512 for TLS session ticket HMAC it is vulnerable to a
4005    DoS attack where a malformed ticket will result in an OOB read which will
4006    ultimately crash.
4007
4008    The use of SHA512 in TLS session tickets is comparatively rare as it requires
4009    a custom server callback and ticket lookup mechanism.
4010
4011    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
4012    [CVE-2016-6302][]
4013
4014    *Stephen Henson*
4015
4016  * OOB write in BN_bn2dec()
4017
4018    The function BN_bn2dec() does not check the return value of BN_div_word().
4019    This can cause an OOB write if an application uses this function with an
4020    overly large BIGNUM. This could be a problem if an overly large certificate
4021    or CRL is printed out from an untrusted source. TLS is not affected because
4022    record limits will reject an oversized certificate before it is parsed.
4023
4024    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
4025    [CVE-2016-2182][]
4026
4027    *Stephen Henson*
4028
4029  * OOB read in TS_OBJ_print_bio()
4030
4031    The function TS_OBJ_print_bio() misuses OBJ_obj2txt(): the return value is
4032    the total length the OID text representation would use and not the amount
4033    of data written. This will result in OOB reads when large OIDs are
4034    presented.
4035
4036    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
4037    [CVE-2016-2180][]
4038
4039    *Stephen Henson*
4040
4041  * Pointer arithmetic undefined behaviour
4042
4043    Avoid some undefined pointer arithmetic
4044
4045    A common idiom in the codebase is to check limits in the following manner:
4046    "p + len > limit"
4047
4048    Where "p" points to some malloc'd data of SIZE bytes and
4049    limit == p + SIZE
4050
4051    "len" here could be from some externally supplied data (e.g. from a TLS
4052    message).
4053
4054    The rules of C pointer arithmetic are such that "p + len" is only well
4055    defined where len <= SIZE. Therefore the above idiom is actually
4056    undefined behaviour.
4057
4058    For example this could cause problems if some malloc implementation
4059    provides an address for "p" such that "p + len" actually overflows for
4060    values of len that are too big and therefore p + len < limit.
4061
4062    This issue was reported to OpenSSL by Guido Vranken
4063    [CVE-2016-2177][]
4064
4065    *Matt Caswell*
4066
4067  * Constant time flag not preserved in DSA signing
4068
4069    Operations in the DSA signing algorithm should run in constant time in
4070    order to avoid side channel attacks. A flaw in the OpenSSL DSA
4071    implementation means that a non-constant time codepath is followed for
4072    certain operations. This has been demonstrated through a cache-timing
4073    attack to be sufficient for an attacker to recover the private DSA key.
4074
4075    This issue was reported by César Pereida (Aalto University), Billy Brumley
4076    (Tampere University of Technology), and Yuval Yarom (The University of
4077    Adelaide and NICTA).
4078    [CVE-2016-2178][]
4079
4080    *César Pereida*
4081
4082  * DTLS buffered message DoS
4083
4084    In a DTLS connection where handshake messages are delivered out-of-order
4085    those messages that OpenSSL is not yet ready to process will be buffered
4086    for later use. Under certain circumstances, a flaw in the logic means that
4087    those messages do not get removed from the buffer even though the handshake
4088    has been completed. An attacker could force up to approx. 15 messages to
4089    remain in the buffer when they are no longer required. These messages will
4090    be cleared when the DTLS connection is closed. The default maximum size for
4091    a message is 100k. Therefore the attacker could force an additional 1500k
4092    to be consumed per connection. By opening many simulataneous connections an
4093    attacker could cause a DoS attack through memory exhaustion.
4094
4095    This issue was reported to OpenSSL by Quan Luo.
4096    [CVE-2016-2179][]
4097
4098    *Matt Caswell*
4099
4100  * DTLS replay protection DoS
4101
4102    A flaw in the DTLS replay attack protection mechanism means that records
4103    that arrive for future epochs update the replay protection "window" before
4104    the MAC for the record has been validated. This could be exploited by an
4105    attacker by sending a record for the next epoch (which does not have to
4106    decrypt or have a valid MAC), with a very large sequence number. This means
4107    that all subsequent legitimate packets are dropped causing a denial of
4108    service for a specific DTLS connection.
4109
4110    This issue was reported to OpenSSL by the OCAP audit team.
4111    [CVE-2016-2181][]
4112
4113    *Matt Caswell*
4114
4115  * Certificate message OOB reads
4116
4117    In OpenSSL 1.0.2 and earlier some missing message length checks can result
4118    in OOB reads of up to 2 bytes beyond an allocated buffer. There is a
4119    theoretical DoS risk but this has not been observed in practice on common
4120    platforms.
4121
4122    The messages affected are client certificate, client certificate request
4123    and server certificate. As a result the attack can only be performed
4124    against a client or a server which enables client authentication.
4125
4126    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
4127    [CVE-2016-6306][]
4128
4129    *Stephen Henson*
4130
4131 ### Changes between 1.0.2g and 1.0.2h [3 May 2016] ###
4132
4133  * Prevent padding oracle in AES-NI CBC MAC check
4134
4135    A MITM attacker can use a padding oracle attack to decrypt traffic
4136    when the connection uses an AES CBC cipher and the server support
4137    AES-NI.
4138
4139    This issue was introduced as part of the fix for Lucky 13 padding
4140    attack [CVE-2013-0169][]. The padding check was rewritten to be in
4141    constant time by making sure that always the same bytes are read and
4142    compared against either the MAC or padding bytes. But it no longer
4143    checked that there was enough data to have both the MAC and padding
4144    bytes.
4145
4146    This issue was reported by Juraj Somorovsky using TLS-Attacker.
4147    [CVE-2016-2107][]
4148
4149    *Kurt Roeckx*
4150
4151  * Fix EVP_EncodeUpdate overflow
4152
4153    An overflow can occur in the EVP_EncodeUpdate() function which is used for
4154    Base64 encoding of binary data. If an attacker is able to supply very large
4155    amounts of input data then a length check can overflow resulting in a heap
4156    corruption.
4157
4158    Internally to OpenSSL the EVP_EncodeUpdate() function is primarily used by
4159    the PEM_write_bio* family of functions. These are mainly used within the
4160    OpenSSL command line applications, so any application which processes data
4161    from an untrusted source and outputs it as a PEM file should be considered
4162    vulnerable to this issue. User applications that call these APIs directly
4163    with large amounts of untrusted data may also be vulnerable.
4164
4165    This issue was reported by Guido Vranken.
4166    [CVE-2016-2105][]
4167
4168    *Matt Caswell*
4169
4170  * Fix EVP_EncryptUpdate overflow
4171
4172    An overflow can occur in the EVP_EncryptUpdate() function. If an attacker
4173    is able to supply very large amounts of input data after a previous call to
4174    EVP_EncryptUpdate() with a partial block then a length check can overflow
4175    resulting in a heap corruption. Following an analysis of all OpenSSL
4176    internal usage of the EVP_EncryptUpdate() function all usage is one of two
4177    forms. The first form is where the EVP_EncryptUpdate() call is known to be
4178    the first called function after an EVP_EncryptInit(), and therefore that
4179    specific call must be safe. The second form is where the length passed to
4180    EVP_EncryptUpdate() can be seen from the code to be some small value and
4181    therefore there is no possibility of an overflow. Since all instances are
4182    one of these two forms, it is believed that there can be no overflows in
4183    internal code due to this problem. It should be noted that
4184    EVP_DecryptUpdate() can call EVP_EncryptUpdate() in certain code paths.
4185    Also EVP_CipherUpdate() is a synonym for EVP_EncryptUpdate(). All instances
4186    of these calls have also been analysed too and it is believed there are no
4187    instances in internal usage where an overflow could occur.
4188
4189    This issue was reported by Guido Vranken.
4190    [CVE-2016-2106][]
4191
4192    *Matt Caswell*
4193
4194  * Prevent ASN.1 BIO excessive memory allocation
4195
4196    When ASN.1 data is read from a BIO using functions such as d2i_CMS_bio()
4197    a short invalid encoding can cause allocation of large amounts of memory
4198    potentially consuming excessive resources or exhausting memory.
4199
4200    Any application parsing untrusted data through d2i BIO functions is
4201    affected. The memory based functions such as d2i_X509() are *not* affected.
4202    Since the memory based functions are used by the TLS library, TLS
4203    applications are not affected.
4204
4205    This issue was reported by Brian Carpenter.
4206    [CVE-2016-2109][]
4207
4208    *Stephen Henson*
4209
4210  * EBCDIC overread
4211
4212    ASN1 Strings that are over 1024 bytes can cause an overread in applications
4213    using the X509_NAME_oneline() function on EBCDIC systems. This could result
4214    in arbitrary stack data being returned in the buffer.
4215
4216    This issue was reported by Guido Vranken.
4217    [CVE-2016-2176][]
4218
4219    *Matt Caswell*
4220
4221  * Modify behavior of ALPN to invoke callback after SNI/servername
4222    callback, such that updates to the SSL_CTX affect ALPN.
4223
4224    *Todd Short*
4225
4226  * Remove LOW from the DEFAULT cipher list.  This removes singles DES from the
4227    default.
4228
4229    *Kurt Roeckx*
4230
4231  * Only remove the SSLv2 methods with the no-ssl2-method option. When the
4232    methods are enabled and ssl2 is disabled the methods return NULL.
4233
4234    *Kurt Roeckx*
4235
4236 ### Changes between 1.0.2f and 1.0.2g [1 Mar 2016] ###
4237
4238 * Disable weak ciphers in SSLv3 and up in default builds of OpenSSL.
4239   Builds that are not configured with "enable-weak-ssl-ciphers" will not
4240   provide any "EXPORT" or "LOW" strength ciphers.
4241
4242   *Viktor Dukhovni*
4243
4244 * Disable SSLv2 default build, default negotiation and weak ciphers.  SSLv2
4245   is by default disabled at build-time.  Builds that are not configured with
4246   "enable-ssl2" will not support SSLv2.  Even if "enable-ssl2" is used,
4247   users who want to negotiate SSLv2 via the version-flexible SSLv23_method()
4248   will need to explicitly call either of:
4249
4250       SSL_CTX_clear_options(ctx, SSL_OP_NO_SSLv2);
4251   or
4252       SSL_clear_options(ssl, SSL_OP_NO_SSLv2);
4253
4254   as appropriate.  Even if either of those is used, or the application
4255   explicitly uses the version-specific SSLv2_method() or its client and
4256   server variants, SSLv2 ciphers vulnerable to exhaustive search key
4257   recovery have been removed.  Specifically, the SSLv2 40-bit EXPORT
4258   ciphers, and SSLv2 56-bit DES are no longer available.
4259   [CVE-2016-0800][]
4260
4261    *Viktor Dukhovni*
4262
4263  * Fix a double-free in DSA code
4264
4265    A double free bug was discovered when OpenSSL parses malformed DSA private
4266    keys and could lead to a DoS attack or memory corruption for applications
4267    that receive DSA private keys from untrusted sources.  This scenario is
4268    considered rare.
4269
4270    This issue was reported to OpenSSL by Adam Langley(Google/BoringSSL) using
4271    libFuzzer.
4272    [CVE-2016-0705][]
4273
4274    *Stephen Henson*
4275
4276  * Disable SRP fake user seed to address a server memory leak.
4277
4278    Add a new method SRP_VBASE_get1_by_user that handles the seed properly.
4279
4280    SRP_VBASE_get_by_user had inconsistent memory management behaviour.
4281    In order to fix an unavoidable memory leak, SRP_VBASE_get_by_user
4282    was changed to ignore the "fake user" SRP seed, even if the seed
4283    is configured.
4284
4285    Users should use SRP_VBASE_get1_by_user instead. Note that in
4286    SRP_VBASE_get1_by_user, caller must free the returned value. Note
4287    also that even though configuring the SRP seed attempts to hide
4288    invalid usernames by continuing the handshake with fake
4289    credentials, this behaviour is not constant time and no strong
4290    guarantees are made that the handshake is indistinguishable from
4291    that of a valid user.
4292    [CVE-2016-0798][]
4293
4294    *Emilia Käsper*
4295
4296  * Fix BN_hex2bn/BN_dec2bn NULL pointer deref/heap corruption
4297
4298    In the BN_hex2bn function the number of hex digits is calculated using an
4299    int value |i|. Later |bn_expand| is called with a value of |i * 4|. For
4300    large values of |i| this can result in |bn_expand| not allocating any
4301    memory because |i * 4| is negative. This can leave the internal BIGNUM data
4302    field as NULL leading to a subsequent NULL ptr deref. For very large values
4303    of |i|, the calculation |i * 4| could be a positive value smaller than |i|.
4304    In this case memory is allocated to the internal BIGNUM data field, but it
4305    is insufficiently sized leading to heap corruption. A similar issue exists
4306    in BN_dec2bn. This could have security consequences if BN_hex2bn/BN_dec2bn
4307    is ever called by user applications with very large untrusted hex/dec data.
4308    This is anticipated to be a rare occurrence.
4309
4310    All OpenSSL internal usage of these functions use data that is not expected
4311    to be untrusted, e.g. config file data or application command line
4312    arguments. If user developed applications generate config file data based
4313    on untrusted data then it is possible that this could also lead to security
4314    consequences. This is also anticipated to be rare.
4315
4316    This issue was reported to OpenSSL by Guido Vranken.
4317    [CVE-2016-0797][]
4318
4319    *Matt Caswell*
4320
4321  * Fix memory issues in BIO_*printf functions
4322
4323    The internal |fmtstr| function used in processing a "%s" format string in
4324    the BIO_*printf functions could overflow while calculating the length of a
4325    string and cause an OOB read when printing very long strings.
4326
4327    Additionally the internal |doapr_outch| function can attempt to write to an
4328    OOB memory location (at an offset from the NULL pointer) in the event of a
4329    memory allocation failure. In 1.0.2 and below this could be caused where
4330    the size of a buffer to be allocated is greater than INT_MAX. E.g. this
4331    could be in processing a very long "%s" format string. Memory leaks can
4332    also occur.
4333
4334    The first issue may mask the second issue dependent on compiler behaviour.
4335    These problems could enable attacks where large amounts of untrusted data
4336    is passed to the BIO_*printf functions. If applications use these functions
4337    in this way then they could be vulnerable. OpenSSL itself uses these
4338    functions when printing out human-readable dumps of ASN.1 data. Therefore
4339    applications that print this data could be vulnerable if the data is from
4340    untrusted sources. OpenSSL command line applications could also be
4341    vulnerable where they print out ASN.1 data, or if untrusted data is passed
4342    as command line arguments.
4343
4344    Libssl is not considered directly vulnerable. Additionally certificates etc
4345    received via remote connections via libssl are also unlikely to be able to
4346    trigger these issues because of message size limits enforced within libssl.
4347
4348    This issue was reported to OpenSSL Guido Vranken.
4349    [CVE-2016-0799][]
4350
4351    *Matt Caswell*
4352
4353  * Side channel attack on modular exponentiation
4354
4355    A side-channel attack was found which makes use of cache-bank conflicts on
4356    the Intel Sandy-Bridge microarchitecture which could lead to the recovery
4357    of RSA keys.  The ability to exploit this issue is limited as it relies on
4358    an attacker who has control of code in a thread running on the same
4359    hyper-threaded core as the victim thread which is performing decryptions.
4360
4361    This issue was reported to OpenSSL by Yuval Yarom, The University of
4362    Adelaide and NICTA, Daniel Genkin, Technion and Tel Aviv University, and
4363    Nadia Heninger, University of Pennsylvania with more information at
4364    http://cachebleed.info.
4365    [CVE-2016-0702][]
4366
4367    *Andy Polyakov*
4368
4369  * Change the req app to generate a 2048-bit RSA/DSA key by default,
4370    if no keysize is specified with default_bits. This fixes an
4371    omission in an earlier change that changed all RSA/DSA key generation
4372    apps to use 2048 bits by default.
4373
4374    *Emilia Käsper*
4375
4376 ### Changes between 1.0.2e and 1.0.2f [28 Jan 2016] ###
4377  * DH small subgroups
4378
4379    Historically OpenSSL only ever generated DH parameters based on "safe"
4380    primes. More recently (in version 1.0.2) support was provided for
4381    generating X9.42 style parameter files such as those required for RFC 5114
4382    support. The primes used in such files may not be "safe". Where an
4383    application is using DH configured with parameters based on primes that are
4384    not "safe" then an attacker could use this fact to find a peer's private
4385    DH exponent. This attack requires that the attacker complete multiple
4386    handshakes in which the peer uses the same private DH exponent. For example
4387    this could be used to discover a TLS server's private DH exponent if it's
4388    reusing the private DH exponent or it's using a static DH ciphersuite.
4389
4390    OpenSSL provides the option SSL_OP_SINGLE_DH_USE for ephemeral DH (DHE) in
4391    TLS. It is not on by default. If the option is not set then the server
4392    reuses the same private DH exponent for the life of the server process and
4393    would be vulnerable to this attack. It is believed that many popular
4394    applications do set this option and would therefore not be at risk.
4395
4396    The fix for this issue adds an additional check where a "q" parameter is
4397    available (as is the case in X9.42 based parameters). This detects the
4398    only known attack, and is the only possible defense for static DH
4399    ciphersuites. This could have some performance impact.
4400
4401    Additionally the SSL_OP_SINGLE_DH_USE option has been switched on by
4402    default and cannot be disabled. This could have some performance impact.
4403
4404    This issue was reported to OpenSSL by Antonio Sanso (Adobe).
4405    [CVE-2016-0701][]
4406
4407    *Matt Caswell*
4408
4409  * SSLv2 doesn't block disabled ciphers
4410
4411    A malicious client can negotiate SSLv2 ciphers that have been disabled on
4412    the server and complete SSLv2 handshakes even if all SSLv2 ciphers have
4413    been disabled, provided that the SSLv2 protocol was not also disabled via
4414    SSL_OP_NO_SSLv2.
4415
4416    This issue was reported to OpenSSL on 26th December 2015 by Nimrod Aviram
4417    and Sebastian Schinzel.
4418    [CVE-2015-3197][]
4419
4420    *Viktor Dukhovni*
4421
4422 ### Changes between 1.0.2d and 1.0.2e [3 Dec 2015] ###
4423
4424  * BN_mod_exp may produce incorrect results on x86_64
4425
4426    There is a carry propagating bug in the x86_64 Montgomery squaring
4427    procedure. No EC algorithms are affected. Analysis suggests that attacks
4428    against RSA and DSA as a result of this defect would be very difficult to
4429    perform and are not believed likely. Attacks against DH are considered just
4430    feasible (although very difficult) because most of the work necessary to
4431    deduce information about a private key may be performed offline. The amount
4432    of resources required for such an attack would be very significant and
4433    likely only accessible to a limited number of attackers. An attacker would
4434    additionally need online access to an unpatched system using the target
4435    private key in a scenario with persistent DH parameters and a private
4436    key that is shared between multiple clients. For example this can occur by
4437    default in OpenSSL DHE based SSL/TLS ciphersuites.
4438
4439    This issue was reported to OpenSSL by Hanno Böck.
4440    [CVE-2015-3193][]
4441
4442    *Andy Polyakov*
4443
4444  * Certificate verify crash with missing PSS parameter
4445
4446    The signature verification routines will crash with a NULL pointer
4447    dereference if presented with an ASN.1 signature using the RSA PSS
4448    algorithm and absent mask generation function parameter. Since these
4449    routines are used to verify certificate signature algorithms this can be
4450    used to crash any certificate verification operation and exploited in a
4451    DoS attack. Any application which performs certificate verification is
4452    vulnerable including OpenSSL clients and servers which enable client
4453    authentication.
4454
4455    This issue was reported to OpenSSL by Loïc Jonas Etienne (Qnective AG).
4456    [CVE-2015-3194][]
4457
4458    *Stephen Henson*
4459
4460  * X509_ATTRIBUTE memory leak
4461
4462    When presented with a malformed X509_ATTRIBUTE structure OpenSSL will leak
4463    memory. This structure is used by the PKCS#7 and CMS routines so any
4464    application which reads PKCS#7 or CMS data from untrusted sources is
4465    affected. SSL/TLS is not affected.
4466
4467    This issue was reported to OpenSSL by Adam Langley (Google/BoringSSL) using
4468    libFuzzer.
4469    [CVE-2015-3195][]
4470
4471    *Stephen Henson*
4472
4473  * Rewrite EVP_DecodeUpdate (base64 decoding) to fix several bugs.
4474    This changes the decoding behaviour for some invalid messages,
4475    though the change is mostly in the more lenient direction, and
4476    legacy behaviour is preserved as much as possible.
4477
4478    *Emilia Käsper*
4479
4480  * In DSA_generate_parameters_ex, if the provided seed is too short,
4481    return an error
4482
4483    *Rich Salz and Ismo Puustinen <ismo.puustinen@intel.com>*
4484
4485 ### Changes between 1.0.2c and 1.0.2d [9 Jul 2015] ###
4486
4487  * Alternate chains certificate forgery
4488
4489    During certificate verification, OpenSSL will attempt to find an
4490    alternative certificate chain if the first attempt to build such a chain
4491    fails. An error in the implementation of this logic can mean that an
4492    attacker could cause certain checks on untrusted certificates to be
4493    bypassed, such as the CA flag, enabling them to use a valid leaf
4494    certificate to act as a CA and "issue" an invalid certificate.
4495
4496    This issue was reported to OpenSSL by Adam Langley/David Benjamin
4497    (Google/BoringSSL).
4498
4499    *Matt Caswell*
4500
4501 ### Changes between 1.0.2b and 1.0.2c [12 Jun 2015] ###
4502
4503  * Fix HMAC ABI incompatibility. The previous version introduced an ABI
4504    incompatibility in the handling of HMAC. The previous ABI has now been
4505    restored.
4506
4507    *Matt Caswell*
4508
4509 ### Changes between 1.0.2a and 1.0.2b [11 Jun 2015] ###
4510
4511  * Malformed ECParameters causes infinite loop
4512
4513    When processing an ECParameters structure OpenSSL enters an infinite loop
4514    if the curve specified is over a specially malformed binary polynomial
4515    field.
4516
4517    This can be used to perform denial of service against any
4518    system which processes public keys, certificate requests or
4519    certificates.  This includes TLS clients and TLS servers with
4520    client authentication enabled.
4521
4522    This issue was reported to OpenSSL by Joseph Barr-Pixton.
4523    [CVE-2015-1788][]
4524
4525    *Andy Polyakov*
4526
4527  * Exploitable out-of-bounds read in X509_cmp_time
4528
4529    X509_cmp_time does not properly check the length of the ASN1_TIME
4530    string and can read a few bytes out of bounds. In addition,
4531    X509_cmp_time accepts an arbitrary number of fractional seconds in the
4532    time string.
4533
4534    An attacker can use this to craft malformed certificates and CRLs of
4535    various sizes and potentially cause a segmentation fault, resulting in
4536    a DoS on applications that verify certificates or CRLs. TLS clients
4537    that verify CRLs are affected. TLS clients and servers with client
4538    authentication enabled may be affected if they use custom verification
4539    callbacks.
4540
4541    This issue was reported to OpenSSL by Robert Swiecki (Google), and
4542    independently by Hanno Böck.
4543    [CVE-2015-1789][]
4544
4545    *Emilia Käsper*
4546
4547  * PKCS7 crash with missing EnvelopedContent
4548
4549    The PKCS#7 parsing code does not handle missing inner EncryptedContent
4550    correctly. An attacker can craft malformed ASN.1-encoded PKCS#7 blobs
4551    with missing content and trigger a NULL pointer dereference on parsing.
4552
4553    Applications that decrypt PKCS#7 data or otherwise parse PKCS#7
4554    structures from untrusted sources are affected. OpenSSL clients and
4555    servers are not affected.
4556
4557    This issue was reported to OpenSSL by Michal Zalewski (Google).
4558    [CVE-2015-1790][]
4559
4560    *Emilia Käsper*
4561
4562  * CMS verify infinite loop with unknown hash function
4563
4564    When verifying a signedData message the CMS code can enter an infinite loop
4565    if presented with an unknown hash function OID. This can be used to perform
4566    denial of service against any system which verifies signedData messages using
4567    the CMS code.
4568    This issue was reported to OpenSSL by Johannes Bauer.
4569    [CVE-2015-1792][]
4570
4571    *Stephen Henson*
4572
4573  * Race condition handling NewSessionTicket
4574
4575    If a NewSessionTicket is received by a multi-threaded client when attempting to
4576    reuse a previous ticket then a race condition can occur potentially leading to
4577    a double free of the ticket data.
4578    [CVE-2015-1791][]
4579
4580    *Matt Caswell*
4581
4582  * Only support 256-bit or stronger elliptic curves with the
4583    'ecdh_auto' setting (server) or by default (client). Of supported
4584    curves, prefer P-256 (both).
4585
4586    *Emilia Kasper*
4587
4588 ### Changes between 1.0.2 and 1.0.2a [19 Mar 2015] ###
4589
4590  * ClientHello sigalgs DoS fix
4591
4592    If a client connects to an OpenSSL 1.0.2 server and renegotiates with an
4593    invalid signature algorithms extension a NULL pointer dereference will
4594    occur. This can be exploited in a DoS attack against the server.
4595
4596    This issue was was reported to OpenSSL by David Ramos of Stanford
4597    University.
4598    [CVE-2015-0291][]
4599
4600    *Stephen Henson and Matt Caswell*
4601
4602  * Multiblock corrupted pointer fix
4603
4604    OpenSSL 1.0.2 introduced the "multiblock" performance improvement. This
4605    feature only applies on 64 bit x86 architecture platforms that support AES
4606    NI instructions. A defect in the implementation of "multiblock" can cause
4607    OpenSSL's internal write buffer to become incorrectly set to NULL when
4608    using non-blocking IO. Typically, when the user application is using a
4609    socket BIO for writing, this will only result in a failed connection.