VMS: mitigate for the C++ compiler that doesn't understand certain pragmas
[openssl.git] / CHANGES.md
1 OpenSSL CHANGES
2 ===============
3
4 This is a high-level summary of the most important changes.
5 For a full list of changes, see the [git commit log][log] and
6 pick the appropriate release branch.
7
8   [log]: https://github.com/openssl/openssl/commits/
9
10
11 OpenSSL Releases
12 ----------------
13
14  - [OpenSSL 3.0](#openssl-30)
15  - [OpenSSL 1.1.1](#openssl-111)
16  - [OpenSSL 1.1.0](#openssl-110)
17  - [OpenSSL 1.0.2](#openssl-102)
18  - [OpenSSL 1.0.1](#openssl-101)
19  - [OpenSSL 1.0.0](#openssl-100)
20  - [OpenSSL 0.9.x](#openssl-09x)
21
22 OpenSSL 3.0
23 -----------
24
25 ### Changes between 1.1.1 and 3.0 [xx XXX xxxx] ###
26
27
28  * The main project documents (README, NEWS, CHANGES, INSTALL, SUPPORT)
29    have been converted to Markdown with the goal to produce documents
30    which not only look pretty when viewed online in the browser, but
31    remain well readable inside a plain text editor.
32
33    To achieve this goal, a 'minimalistic' Markdown style has been applied
34    which avoids formatting elements that interfere too much with the
35    reading flow in the text file. For example, it
36
37    * avoids [ATX headings][] and uses [setext headings][] instead
38      (which works for `<h1>` and `<h2>` headings only).
39    * avoids [inline links][] and uses [reference links][] instead.
40    * avoids [fenced code blocks][] and uses [indented code blocks][] instead.
41
42      [ATX headings]:         https://github.github.com/gfm/#atx-headings
43      [setext headings]:      https://github.github.com/gfm/#setext-headings
44      [inline links]:         https://github.github.com/gfm/#inline-link
45      [reference links]:      https://github.github.com/gfm/#reference-link
46      [fenced code blocks]:   https://github.github.com/gfm/#fenced-code-blocks
47      [indented code blocks]: https://github.github.com/gfm/#indented-code-blocks
48
49    *Matthias St. Pierre*
50
51
52  * The test suite is changed to preserve results of each test recipe.
53    A new directory test-runs/ with subdirectories named like the
54    test recipes are created in the build tree for this purpose.
55
56    *Richard Levitte*
57
58  * The command line utilities ecparam and ec have been deprecated.  Instead
59    use the pkeyparam, pkey and genpkey programs.
60
61    *Paul Dale*
62
63  * All of the low level RSA functions have been deprecated including:
64
65    RSA_new_method, RSA_bits, RSA_size, RSA_security_bits,
66    RSA_get0_pss_params, RSA_get_version, RSA_get0_engine,
67    RSA_generate_key_ex, RSA_generate_multi_prime_key,
68    RSA_X931_derive_ex, RSA_X931_generate_key_ex, RSA_check_key,
69    RSA_check_key_ex, RSA_public_encrypt, RSA_private_encrypt,
70    RSA_public_decrypt, RSA_private_decrypt, RSA_set_default_method,
71    RSA_get_default_method, RSA_null_method, RSA_get_method, RSA_set_method,
72    RSA_PKCS1_OpenSSL, RSA_print_fp, RSA_print, RSA_sign, RSA_verify,
73    RSA_sign_ASN1_OCTET_STRING, RSA_verify_ASN1_OCTET_STRING,
74    RSA_blinding_on, RSA_blinding_off, RSA_setup_blinding,
75    RSA_padding_add_PKCS1_type_1, RSA_padding_check_PKCS1_type_1,
76    RSA_padding_add_PKCS1_type_2, RSA_padding_check_PKCS1_type_2,
77    PKCS1_MGF1, RSA_padding_add_PKCS1_OAEP, RSA_padding_check_PKCS1_OAEP,
78    RSA_padding_add_PKCS1_OAEP_mgf1, RSA_padding_check_PKCS1_OAEP_mgf1,
79    RSA_padding_add_SSLv23, RSA_padding_check_SSLv23,
80    RSA_padding_add_none, RSA_padding_check_none, RSA_padding_add_X931,
81    RSA_padding_check_X931, RSA_X931_hash_id, RSA_verify_PKCS1_PSS,
82    RSA_padding_add_PKCS1_PSS, RSA_verify_PKCS1_PSS_mgf1,
83    RSA_padding_add_PKCS1_PSS_mgf1, RSA_set_ex_data, RSA_get_ex_data,
84    RSA_meth_new, RSA_meth_free, RSA_meth_dup, RSA_meth_get0_name,
85    RSA_meth_set1_name, RSA_meth_get_flags, RSA_meth_set_flags,
86    RSA_meth_get0_app_data, RSA_meth_set0_app_data, RSA_meth_get_pub_enc,
87    RSA_meth_set_pub_enc, RSA_meth_get_pub_dec, RSA_meth_set_pub_dec,
88    RSA_meth_get_priv_enc, RSA_meth_set_priv_enc, RSA_meth_get_priv_dec,
89    RSA_meth_set_priv_dec, RSA_meth_get_mod_exp, RSA_meth_set_mod_exp,
90    RSA_meth_get_bn_mod_exp, RSA_meth_set_bn_mod_exp, RSA_meth_get_init,
91    RSA_meth_set_init, RSA_meth_get_finish, RSA_meth_set_finish,
92    RSA_meth_get_sign, RSA_meth_set_sign, RSA_meth_get_verify,
93    RSA_meth_set_verify, RSA_meth_get_keygen, RSA_meth_set_keygen,
94    RSA_meth_get_multi_prime_keygen and RSA_meth_set_multi_prime_keygen.
95
96    Use of these low level functions has been informally discouraged for a long
97    time.  Instead applications should use L<EVP_PKEY_encrypt_init(3)>,
98    L<EVP_PKEY_encrypt(3)>, L<EVP_PKEY_decrypt_init(3)> and
99    L<EVP_PKEY_decrypt(3)>.
100
101    *Paul Dale*
102
103  * X509 certificates signed using SHA1 are no longer allowed at security
104    level 1 and above.
105    In TLS/SSL the default security level is 1. It can be set either
106    using the cipher string with @SECLEVEL, or calling
107    SSL_CTX_set_security_level(). If the leaf certificate is signed with SHA-1,
108    a call to SSL_CTX_use_certificate() will fail if the security level is not
109    lowered first.
110    Outside TLS/SSL, the default security level is -1 (effectively 0). It can
111    be set using X509_VERIFY_PARAM_set_auth_level() or using the -auth_level
112    options of the apps.
113
114    *Kurt Roeckx*
115
116  * The command line utilities dhparam, dsa, gendsa and dsaparam have been
117    deprecated.  Instead use the pkeyparam, pkey, genpkey and pkeyparam
118    programs respectively.
119
120    *Paul Dale*
121
122  * All of the low level DH functions have been deprecated including:
123
124    DH_OpenSSL, DH_set_default_method, DH_get_default_method, DH_set_method,
125    DH_new_method, DH_bits, DH_size, DH_security_bits, DH_get_ex_new_index,
126    DH_set_ex_data, DH_get_ex_data, DH_generate_parameters_ex,
127    DH_check_params_ex, DH_check_ex, DH_check_pub_key_ex,
128    DH_check, DH_check_pub_key, DH_generate_key, DH_compute_key,
129    DH_compute_key_padded, DHparams_print_fp, DHparams_print, DH_get_nid,
130    DH_KDF_X9_42, DH_get0_engine, DH_get_length, DH_set_length, DH_meth_new,
131    DH_meth_free, DH_meth_dup, DH_meth_get0_name, DH_meth_set1_name,
132    DH_meth_get_flags, DH_meth_set_flags, DH_meth_get0_app_data,
133    DH_meth_set0_app_data, DH_meth_get_generate_key,
134    DH_meth_set_generate_key, DH_meth_get_compute_key,
135    DH_meth_set_compute_key, DH_meth_get_bn_mod_exp,
136    DH_meth_set_bn_mod_exp, DH_meth_get_init, DH_meth_set_init,
137    DH_meth_get_finish, DH_meth_set_finish, DH_meth_get_generate_params
138    and DH_meth_set_generate_params.
139
140    Use of these low level functions has been informally discouraged for a long
141    time.  Instead applications should use L<EVP_PKEY_derive_init(3)>
142    and L<EVP_PKEY_derive(3)>.
143
144    *Paul Dale*
145
146  * All of the low level DSA functions have been deprecated including:
147
148    DSA_do_sign, DSA_do_verify, DSA_OpenSSL, DSA_set_default_method,
149    DSA_get_default_method, DSA_set_method, DSA_get_method, DSA_new_method,
150    DSA_sign_setup, DSA_sign, DSA_verify, DSA_get_ex_new_index,
151    DSA_set_ex_data, DSA_get_ex_data, DSA_generate_parameters_ex,
152    DSA_generate_key, DSA_meth_new, DSA_get0_engine, DSA_meth_free,
153    DSA_meth_dup, DSA_meth_get0_name, DSA_meth_set1_name, DSA_meth_get_flags,
154    DSA_meth_set_flags, DSA_meth_get0_app_data, DSA_meth_set0_app_data,
155    DSA_meth_get_sign, DSA_meth_set_sign, DSA_meth_get_sign_setup,
156    DSA_meth_set_sign_setup, DSA_meth_get_verify, DSA_meth_set_verify,
157    DSA_meth_get_mod_exp, DSA_meth_set_mod_exp, DSA_meth_get_bn_mod_exp,
158    DSA_meth_set_bn_mod_exp, DSA_meth_get_init, DSA_meth_set_init,
159    DSA_meth_get_finish, DSA_meth_set_finish, DSA_meth_get_paramgen,
160    DSA_meth_set_paramgen, DSA_meth_get_keygen and DSA_meth_set_keygen.
161
162    Use of these low level functions has been informally discouraged for a long
163    time.  Instead applications should use L<EVP_DigestSignInit_ex(3)>,
164    L<EVP_DigestSignUpdate(3)> and L<EVP_DigestSignFinal(3)>.
165
166    *Paul Dale*
167
168  * Reworked the treatment of EC EVP_PKEYs with the SM2 curve to
169    automatically become EVP_PKEY_SM2 rather than EVP_PKEY_EC.
170    This means that applications don't have to look at the curve NID and
171    `EVP_PKEY_set_alias_type(pkey, EVP_PKEY_SM2)` to get SM2 computations.
172    However, they still can, that EVP_PKEY_set_alias_type() call acts as
173    a no-op when the EVP_PKEY is already of the given type.
174
175    Parameter and key generation is also reworked to make it possible
176    to generate EVP_PKEY_SM2 parameters and keys without having to go
177    through EVP_PKEY_EC generation and then change the EVP_PKEY type.
178    However, code that does the latter will still work as before.
179
180    *Richard Levitte*
181
182  * Deprecated low level ECDH and ECDSA functions.  These include:
183
184    ECDH_compute_key, ECDSA_do_sign, ECDSA_do_sign_ex, ECDSA_do_verify,
185    ECDSA_sign_setup, ECDSA_sign, ECDSA_sign_ex, ECDSA_verify and
186    ECDSA_size.
187
188    Use of these low level functions has been informally discouraged for a long
189    time.  Instead applications should use the EVP_PKEY_derive(3),
190    EVP_DigestSign(3) and EVP_DigestVerify(3) functions.
191
192    *Paul Dale*
193
194  * Deprecated the EC_KEY_METHOD functions.  These include:
195
196    EC_KEY_METHOD_new, EC_KEY_METHOD_free, EC_KEY_METHOD_set_init,
197    EC_KEY_METHOD_set_keygen, EC_KEY_METHOD_set_compute_key,
198    EC_KEY_METHOD_set_sign, EC_KEY_METHOD_set_verify,
199    EC_KEY_METHOD_get_init, EC_KEY_METHOD_get_keygen,
200    EC_KEY_METHOD_get_compute_key, EC_KEY_METHOD_get_sign and
201    EC_KEY_METHOD_get_verify.
202
203    Instead applications and extension writers should use the OSSL_PROVIDER APIs.
204
205    *Paul Dale*
206
207  * Deprecated EVP_PKEY_decrypt_old(), please use EVP_PKEY_decrypt_init()
208    and EVP_PKEY_decrypt() instead.
209    Deprecated EVP_PKEY_encrypt_old(), please use EVP_PKEY_encrypt_init()
210    and EVP_PKEY_encrypt() instead.
211
212    *Richard Levitte*
213
214  * Enhanced the documentation of EVP_PKEY_size(), EVP_PKEY_bits()
215    and EVP_PKEY_security_bits().  Especially EVP_PKEY_size() needed
216    a new formulation to include all the things it can be used for,
217    as well as words of caution.
218
219    *Richard Levitte*
220
221  * The SSL_CTX_set_tlsext_ticket_key_cb(3) function has been deprecated.
222    Instead used the new SSL_CTX_set_tlsext_ticket_key_evp_cb(3) function.
223
224    *Paul Dale*
225
226  * All of the low level HMAC functions have been deprecated including:
227
228    HMAC, HMAC_size, HMAC_CTX_new, HMAC_CTX_reset, HMAC_CTX_free,
229    HMAC_Init_ex, HMAC_Update, HMAC_Final, HMAC_CTX_copy, HMAC_CTX_set_flags
230    and HMAC_CTX_get_md.
231
232    Use of these low level functions has been informally discouraged for a long
233    time.  Instead applications should use L<EVP_MAC_CTX_new(3)>,
234    L<EVP_MAC_CTX_free(3)>, L<EVP_MAC_init(3)>, L<EVP_MAC_update(3)>
235    and L<EVP_MAC_final(3)>.
236
237    *Paul Dale*
238
239  * Over two thousand fixes were made to the documentation, including:
240    - Common options (such as -rand/-writerand, TLS version control, etc)
241      were refactored and point to newly-enhanced descriptions in openssl.pod.
242    - Added style conformance for all options (with help from Richard Levitte),
243      documented all reported missing options, added a CI build to check
244      that all options are documented and that no unimplemented options
245      are documented.
246    - Documented some internals, such as all use of environment variables.
247    - Addressed all internal broken L<> references.
248
249    *Rich Salz*
250
251  * All of the low level CMAC functions have been deprecated including:
252
253    CMAC_CTX_new, CMAC_CTX_cleanup, CMAC_CTX_free, CMAC_CTX_get0_cipher_ctx,
254    CMAC_CTX_copy, CMAC_Init, CMAC_Update, CMAC_Final and CMAC_resume.
255
256    Use of these low level functions has been informally discouraged for a long
257    time.  Instead applications should use L<EVP_MAC_CTX_new(3)>,
258    L<EVP_MAC_CTX_free(3)>, L<EVP_MAC_init(3)>, L<EVP_MAC_update(3)>
259    and L<EVP_MAC_final(3)>.
260
261    *Paul Dale*
262
263  * All of the low level MD2, MD4, MD5, MDC2, RIPEMD160, SHA1, SHA224, SHA256,
264    SHA384, SHA512 and Whirlpool digest functions have been deprecated.
265    These include:
266
267    MD2, MD2_options, MD2_Init, MD2_Update, MD2_Final, MD4, MD4_Init,
268    MD4_Update, MD4_Final, MD4_Transform, MD5, MD5_Init, MD5_Update,
269    MD5_Final, MD5_Transform, MDC2, MDC2_Init, MDC2_Update, MDC2_Final,
270    RIPEMD160, RIPEMD160_Init, RIPEMD160_Update, RIPEMD160_Final,
271    RIPEMD160_Transform, SHA1_Init, SHA1_Update, SHA1_Final, SHA1_Transform,
272    SHA224_Init, SHA224_Update, SHA224_Final, SHA224_Transform, SHA256_Init,
273    SHA256_Update, SHA256_Final, SHA256_Transform, SHA384, SHA384_Init,
274    SHA384_Update, SHA384_Final, SHA512, SHA512_Init, SHA512_Update,
275    SHA512_Final, SHA512_Transform, WHIRLPOOL, WHIRLPOOL_Init,
276    WHIRLPOOL_Update, WHIRLPOOL_BitUpdate and WHIRLPOOL_Final.
277
278    Use of these low level functions has been informally discouraged
279    for a long time.  Applications should use the EVP_DigestInit_ex(3),
280    EVP_DigestUpdate(3) and EVP_DigestFinal_ex(3) functions instead.
281
282    *Paul Dale*
283
284  * Corrected the documentation of the return values from the EVP_DigestSign*
285    set of functions.  The documentation mentioned negative values for some
286    errors, but this was never the case, so the mention of negative values
287    was removed.
288
289    Code that followed the documentation and thereby check with something
290    like `EVP_DigestSignInit(...) <= 0` will continue to work undisturbed.
291
292    *Richard Levitte*
293
294  * All of the low level cipher functions have been deprecated including:
295
296    AES_options, AES_set_encrypt_key, AES_set_decrypt_key, AES_encrypt,
297    AES_decrypt, AES_ecb_encrypt, AES_cbc_encrypt, AES_cfb128_encrypt,
298    AES_cfb1_encrypt, AES_cfb8_encrypt, AES_ofb128_encrypt,
299    AES_wrap_key, AES_unwrap_key, BF_set_key, BF_encrypt, BF_decrypt,
300    BF_ecb_encrypt, BF_cbc_encrypt, BF_cfb64_encrypt, BF_ofb64_encrypt,
301    BF_options, Camellia_set_key, Camellia_encrypt, Camellia_decrypt,
302    Camellia_ecb_encrypt, Camellia_cbc_encrypt, Camellia_cfb128_encrypt,
303    Camellia_cfb1_encrypt, Camellia_cfb8_encrypt, Camellia_ofb128_encrypt,
304    Camellia_ctr128_encrypt, CAST_set_key, CAST_encrypt, CAST_decrypt,
305    CAST_ecb_encrypt, CAST_cbc_encrypt, CAST_cfb64_encrypt,
306    CAST_ofb64_encrypt, DES_options, DES_encrypt1, DES_encrypt2,
307    DES_encrypt3, DES_decrypt3, DES_cbc_encrypt, DES_ncbc_encrypt,
308    DES_pcbc_encrypt, DES_xcbc_encrypt, DES_cfb_encrypt, DES_cfb64_encrypt,
309    DES_ecb_encrypt, DES_ofb_encrypt, DES_ofb64_encrypt, DES_random_key,
310    DES_set_odd_parity, DES_check_key_parity, DES_is_weak_key, DES_set_key,
311    DES_key_sched, DES_set_key_checked, DES_set_key_unchecked,
312    DES_string_to_key, DES_string_to_2keys, DES_fixup_key_parity,
313    DES_ecb2_encrypt, DES_ede2_cbc_encrypt, DES_ede2_cfb64_encrypt,
314    DES_ede2_ofb64_encrypt, DES_ecb3_encrypt, DES_ede3_cbc_encrypt,
315    DES_ede3_cfb64_encrypt, DES_ede3_cfb_encrypt, DES_ede3_ofb64_encrypt,
316    DES_cbc_cksum, DES_quad_cksum, IDEA_encrypt, IDEA_options,
317    IDEA_ecb_encrypt, IDEA_set_encrypt_key, IDEA_set_decrypt_key,
318    IDEA_cbc_encrypt, IDEA_cfb64_encrypt, IDEA_ofb64_encrypt, RC2_set_key,
319    RC2_encrypt, RC2_decrypt, RC2_ecb_encrypt, RC2_cbc_encrypt,
320    RC2_cfb64_encrypt, RC2_ofb64_encrypt, RC4, RC4_options, RC4_set_key,
321    RC5_32_set_key, RC5_32_encrypt, RC5_32_decrypt, RC5_32_ecb_encrypt,
322    RC5_32_cbc_encrypt, RC5_32_cfb64_encrypt, RC5_32_ofb64_encrypt,
323    SEED_set_key, SEED_encrypt, SEED_decrypt, SEED_ecb_encrypt,
324    SEED_cbc_encrypt, SEED_cfb128_encrypt and SEED_ofb128_encrypt.
325
326    Use of these low level functions has been informally discouraged for
327    a long time. Applications should use the high level EVP APIs, e.g.
328    EVP_EncryptInit_ex, EVP_EncryptUpdate, EVP_EncryptFinal_ex, and the
329    equivalently named decrypt functions instead.
330
331    *Matt Caswell and Paul Dale*
332
333  * Removed include/openssl/opensslconf.h.in and replaced it with
334    include/openssl/configuration.h.in, which differs in not including
335    <openssl/macros.h>.  A short header include/openssl/opensslconf.h
336    was added to include both.
337
338    This allows internal hacks where one might need to modify the set
339    of configured macros, for example this if deprecated symbols are
340    still supposed to be available internally:
341
342        #include <openssl/configuration.h>
343
344        #undef OPENSSL_NO_DEPRECATED
345        #define OPENSSL_SUPPRESS_DEPRECATED
346
347        #include <openssl/macros.h>
348
349    This should not be used by applications that use the exported
350    symbols, as that will lead to linking errors.
351
352    *Richard Levitte*
353
354  * Fixed an overflow bug in the x64_64 Montgomery squaring procedure
355    used in exponentiation with 512-bit moduli. No EC algorithms are
356    affected. Analysis suggests that attacks against 2-prime RSA1024,
357    3-prime RSA1536, and DSA1024 as a result of this defect would be very
358    difficult to perform and are not believed likely. Attacks against DH512
359    are considered just feasible. However, for an attack the target would
360    have to re-use the DH512 private key, which is not recommended anyway.
361    Also applications directly using the low level API BN_mod_exp may be
362    affected if they use BN_FLG_CONSTTIME.
363    [CVE-2019-1551][]
364
365    *Andy Polyakov*
366
367  * Most memory-debug features have been deprecated, and the functionality
368    replaced with no-ops.
369
370    *Rich Salz*
371
372  * Introduced a new method type and API, OSSL_SERIALIZER, to
373    represent generic serializers.  An implementation is expected to
374    be able to serialize an object associated with a given name (such
375    as an algorithm name for an asymmetric key) into forms given by
376    implementation properties.
377
378    Serializers are primarily used from inside libcrypto, through
379    calls to functions like EVP_PKEY_print_private(),
380    PEM_write_bio_PrivateKey() and similar.
381
382    Serializers are specified in such a way that they can be made to
383    directly handle the provider side portion of an object, if this
384    provider side part comes from the same provider as the serializer
385    itself, but can also be made to handle objects in parametrized
386    form (as an OSSL_PARAM array of data).  This allows a provider to
387    offer generic serializers as a service for any other provider.
388
389    *Richard Levitte*
390
391  * Added a .pragma directive to the syntax of configuration files, to
392    allow varying behavior in a supported and predictable manner.
393    Currently added pragma:
394
395            .pragma dollarid:on
396
397    This allows dollar signs to be a keyword character unless it's
398    followed by a opening brace or parenthesis.  This is useful for
399    platforms where dollar signs are commonly used in names, such as
400    volume names and system directory names on VMS.
401
402    *Richard Levitte*
403
404  * Added functionality to create an EVP_PKEY from user data.  This
405    is effectively the same as creating a RSA, DH or DSA object and
406    then assigning them to an EVP_PKEY, but directly using algorithm
407    agnostic EVP functions.  A benefit is that this should be future
408    proof for public key algorithms to come.
409
410    *Richard Levitte*
411
412  * Change the interpretation of the '--api' configuration option to
413    mean that this is a desired API compatibility level with no
414    further meaning.  The previous interpretation, that this would
415    also mean to remove all deprecated symbols up to and including
416    the given version, no requires that 'no-deprecated' is also used
417    in the configuration.
418
419    When building applications, the desired API compatibility level
420    can be set with the OPENSSL_API_COMPAT macro like before.  For
421    API compatibility version below 3.0, the old style numerical
422    value is valid as before, such as -DOPENSSL_API_COMPAT=0x10100000L.
423    For version 3.0 and on, the value is expected to be the decimal
424    value calculated from the major and minor version like this:
425
426            MAJOR * 10000 + MINOR * 100
427
428    Examples:
429
430            -DOPENSSL_API_COMPAT=30000             For 3.0
431            -DOPENSSL_API_COMPAT=30200             For 3.2
432
433    To hide declarations that are deprecated up to and including the
434    given API compatibility level, -DOPENSSL_NO_DEPRECATED must be
435    given when building the application as well.
436
437    *Richard Levitte*
438
439  * Added the X509_LOOKUP_METHOD called X509_LOOKUP_store, to allow
440    access to certificate and CRL stores via URIs and OSSL_STORE
441    loaders.
442
443    This adds the following functions:
444
445    - X509_LOOKUP_store()
446    - X509_STORE_load_file()
447    - X509_STORE_load_path()
448    - X509_STORE_load_store()
449    - SSL_add_store_cert_subjects_to_stack()
450    - SSL_CTX_set_default_verify_store()
451    - SSL_CTX_load_verify_file()
452    - SSL_CTX_load_verify_dir()
453    - SSL_CTX_load_verify_store()
454
455    Also, the following functions are now deprecated:
456
457    - X509_STORE_load_locations() (use X509_STORE_load_file(),
458      X509_STORE_load_path() or X509_STORE_load_store() instead)
459    - SSL_CTX_load_verify_locations() (use SSL_CTX_load_verify_file(),
460      SSL_CTX_load_verify_dir() or SSL_CTX_load_verify_store() instead)
461
462    *Richard Levitte*
463
464  * Added a new method to gather entropy on VMS, based on SYS$GET_ENTROPY.
465    The presence of this system service is determined at run-time.
466
467    *Richard Levitte*
468
469  * Added functionality to create an EVP_PKEY context based on data
470    for methods from providers.  This takes an algorithm name and a
471    property query string and simply stores them, with the intent
472    that any operation that uses this context will use those strings
473    to fetch the needed methods implicitly, thereby making the port
474    of application written for pre-3.0 OpenSSL easier.
475
476    *Richard Levitte*
477
478  * The undocumented function NCONF_WIN32() has been deprecated; for
479    conversion details see the HISTORY section of doc/man5/config.pod
480
481    *Rich Salz*
482
483  * Introduced the new functions EVP_DigestSignInit_ex() and
484    EVP_DigestVerifyInit_ex(). The macros EVP_DigestSignUpdate() and
485    EVP_DigestVerifyUpdate() have been converted to functions. See the man
486    pages for further details.
487
488    *Matt Caswell*
489
490  * Over two thousand fixes were made to the documentation, including:
491    adding missing command flags, better style conformance, documentation
492    of internals, etc.
493
494    *Rich Salz, Richard Levitte*
495
496  * s390x assembly pack: add hardware-support for P-256, P-384, P-521,
497    X25519, X448, Ed25519 and Ed448.
498
499    *Patrick Steuer*
500
501  * Print all values for a PKCS#12 attribute with 'openssl pkcs12', not just
502    the first value.
503
504    *Jon Spillett*
505
506  * Deprecated the public definition of ERR_STATE as well as the function
507    ERR_get_state().  This is done in preparation of making ERR_STATE an
508    opaque type.
509
510    *Richard Levitte*
511
512  * Added ERR functionality to give callers access to the stored function
513    names that have replaced the older function code based functions.
514
515    New functions are ERR_get_error_func(), ERR_peek_error_func(),
516    ERR_peek_last_error_func(), ERR_get_error_data(), ERR_peek_error_data(),
517    ERR_peek_last_error_data(), ERR_get_error_all(), ERR_peek_error_all()
518    and ERR_peek_last_error_all().
519
520    These functions have become deprecated: ERR_get_error_line_data(),
521    ERR_peek_error_line_data(), ERR_peek_last_error_line_data() and
522    ERR_func_error_string().
523
524    *Richard Levitte*
525
526  * Extended testing to be verbose for failing tests only.  The make variables
527    VERBOSE_FAILURE or VF can be used to enable this:
528
529            $ make VF=1 test                           # Unix
530            $ mms /macro=(VF=1) test                   ! OpenVMS
531            $ nmake VF=1 test                          # Windows
532
533
534    *Richard Levitte*
535
536  * For built-in EC curves, ensure an EC_GROUP built from the curve name is
537    used even when parsing explicit parameters, when loading a serialized key
538    or calling `EC_GROUP_new_from_ecpkparameters()`/
539    `EC_GROUP_new_from_ecparameters()`.
540    This prevents bypass of security hardening and performance gains,
541    especially for curves with specialized EC_METHODs.
542    By default, if a key encoded with explicit parameters is loaded and later
543    serialized, the output is still encoded with explicit parameters, even if
544    internally a "named" EC_GROUP is used for computation.
545
546    *Nicola Tuveri*
547
548  * Compute ECC cofactors if not provided during EC_GROUP construction. Before
549    this change, EC_GROUP_set_generator would accept order and/or cofactor as
550    NULL. After this change, only the cofactor parameter can be NULL. It also
551    does some minimal sanity checks on the passed order.
552    [CVE-2019-1547][]
553
554    *Billy Bob Brumley*
555
556  * Fixed a padding oracle in PKCS7_dataDecode and CMS_decrypt_set1_pkey.
557    An attack is simple, if the first CMS_recipientInfo is valid but the
558    second CMS_recipientInfo is chosen ciphertext. If the second
559    recipientInfo decodes to PKCS #1 v1.5 form plaintext, the correct
560    encryption key will be replaced by garbage, and the message cannot be
561    decoded, but if the RSA decryption fails, the correct encryption key is
562    used and the recipient will not notice the attack.
563    As a work around for this potential attack the length of the decrypted
564    key must be equal to the cipher default key length, in case the
565    certifiate is not given and all recipientInfo are tried out.
566    The old behaviour can be re-enabled in the CMS code by setting the
567    CMS_DEBUG_DECRYPT flag.
568
569    *Bernd Edlinger*
570
571  * Early start up entropy quality from the DEVRANDOM seed source has been
572    improved for older Linux systems.  The RAND subsystem will wait for
573    /dev/random to be producing output before seeding from /dev/urandom.
574    The seeded state is stored for future library initialisations using
575    a system global shared memory segment.  The shared memory identifier
576    can be configured by defining OPENSSL_RAND_SEED_DEVRANDOM_SHM_ID to
577    the desired value.  The default identifier is 114.
578
579    *Paul Dale*
580
581  * Revised BN_generate_prime_ex to not avoid factors 2..17863 in p-1
582    when primes for RSA keys are computed.
583    Since we previously always generated primes == 2 (mod 3) for RSA keys,
584    the 2-prime and 3-prime RSA modules were easy to distinguish, since
585    N = p*q = 1 (mod 3), but N = p*q*r = 2 (mod 3). Therefore fingerprinting
586    2-prime vs. 3-prime RSA keys was possible by computing N mod 3.
587    This avoids possible fingerprinting of newly generated RSA modules.
588
589    *Bernd Edlinger*
590
591  * Correct the extended master secret constant on EBCDIC systems. Without this
592    fix TLS connections between an EBCDIC system and a non-EBCDIC system that
593    negotiate EMS will fail. Unfortunately this also means that TLS connections
594    between EBCDIC systems with this fix, and EBCDIC systems without this
595    fix will fail if they negotiate EMS.
596
597    *Matt Caswell*
598
599  * Changed the library initialisation so that the config file is now loaded
600    by default. This was already the case for libssl. It now occurs for both
601    libcrypto and libssl. Use the OPENSSL_INIT_NO_LOAD_CONFIG option to
602    OPENSSL_init_crypto() to suppress automatic loading of a config file.
603
604    *Matt Caswell*
605
606  * Introduced new error raising macros, ERR_raise() and ERR_raise_data(),
607    where the former acts as a replacement for ERR_put_error(), and the
608    latter replaces the combination ERR_put_error()+ERR_add_error_data().
609    ERR_raise_data() adds more flexibility by taking a format string and
610    an arbitrary number of arguments following it, to be processed with
611    BIO_snprintf().
612
613    *Richard Levitte*
614
615  * Introduced a new function, OSSL_PROVIDER_available(), which can be used
616    to check if a named provider is loaded and available.  When called, it
617    will also activate all fallback providers if such are still present.
618
619    *Richard Levitte*
620
621  * Enforce a minimum DH modulus size of 512 bits.
622
623    *Bernd Edlinger*
624
625  * Changed DH parameters to generate the order q subgroup instead of 2q.
626    Previously generated DH parameters are still accepted by DH_check
627    but DH_generate_key works around that by clearing bit 0 of the
628    private key for those. This avoids leaking bit 0 of the private key.
629
630    *Bernd Edlinger*
631
632  * Significantly reduce secure memory usage by the randomness pools.
633
634    *Paul Dale*
635
636  * {CRYPTO,OPENSSL}_mem_debug_{push,pop} are now no-ops and have been
637    deprecated.
638
639    *Rich Salz*
640
641  * A new type, EVP_KEYEXCH, has been introduced to represent key exchange
642    algorithms. An implementation of a key exchange algorithm can be obtained
643    by using the function EVP_KEYEXCH_fetch(). An EVP_KEYEXCH algorithm can be
644    used in a call to EVP_PKEY_derive_init_ex() which works in a similar way to
645    the older EVP_PKEY_derive_init() function. See the man pages for the new
646    functions for further details.
647
648    *Matt Caswell*
649
650  * The EVP_PKEY_CTX_set_dh_pad() macro has now been converted to a function.
651
652    *Matt Caswell*
653
654  * Removed the function names from error messages and deprecated the
655    xxx_F_xxx define's.
656
657  * Removed NextStep support and the macro OPENSSL_UNISTD
658
659    *Rich Salz*
660
661  * Removed DES_check_key.  Also removed OPENSSL_IMPLEMENT_GLOBAL,
662    OPENSSL_GLOBAL_REF, OPENSSL_DECLARE_GLOBAL.
663    Also removed "export var as function" capability; we do not export
664    variables, only functions.
665
666    *Rich Salz*
667
668  * RC5_32_set_key has been changed to return an int type, with 0 indicating
669    an error and 1 indicating success. In previous versions of OpenSSL this
670    was a void type. If a key was set longer than the maximum possible this
671    would crash.
672
673    *Matt Caswell*
674
675  * Support SM2 signing and verification schemes with X509 certificate.
676
677    *Paul Yang*
678
679  * Use SHA256 as the default digest for TS query in the ts app.
680
681    *Tomas Mraz*
682
683  * Change PBKDF2 to conform to SP800-132 instead of the older PKCS5 RFC2898.
684    This checks that the salt length is at least 128 bits, the derived key
685    length is at least 112 bits, and that the iteration count is at least 1000.
686    For backwards compatibility these checks are disabled by default in the
687    default provider, but are enabled by default in the fips provider.
688    To enable or disable these checks use the control
689    EVP_KDF_CTRL_SET_PBKDF2_PKCS5_MODE.
690
691    *Shane Lontis*
692
693  * Default cipher lists/suites are now available via a function, the
694    #defines are deprecated.
695
696    *Todd Short*
697
698  * Add target VC-WIN32-UWP, VC-WIN64A-UWP, VC-WIN32-ARM-UWP and
699    VC-WIN64-ARM-UWP in Windows OneCore target for making building libraries
700    for Windows Store apps easier. Also, the "no-uplink" option has been added.
701
702    *Kenji Mouri*
703
704  * Join the directories crypto/x509 and crypto/x509v3
705
706    *Richard Levitte*
707
708  * Change the default RSA, DSA and DH size to 2048 bit instead of 1024.
709    This changes the size when using the genpkey app when no size is given. It
710    fixes an omission in earlier changes that changed all RSA, DSA and DH
711    generation apps to use 2048 bits by default.
712
713    *Kurt Roeckx*
714
715  * Added command 'openssl kdf' that uses the EVP_KDF API.
716
717    *Shane Lontis*
718
719  * Added command 'openssl mac' that uses the EVP_MAC API.
720
721    *Shane Lontis*
722
723  * Added OPENSSL_info() to get diverse built-in OpenSSL data, such
724    as default directories.  Also added the command 'openssl info'
725    for scripting purposes.
726
727    *Richard Levitte*
728
729  * The functions AES_ige_encrypt() and AES_bi_ige_encrypt() have been
730    deprecated. These undocumented functions were never integrated into the EVP
731    layer and implement the AES Infinite Garble Extension (IGE) mode and AES
732    Bi-directional IGE mode. These modes were never formally standardised and
733    usage of these functions is believed to be very small. In particular
734    AES_bi_ige_encrypt() has a known bug. It accepts 2 AES keys, but only one
735    is ever used. The security implications are believed to be minimal, but
736    this issue was never fixed for backwards compatibility reasons. New code
737    should not use these modes.
738
739    *Matt Caswell*
740
741  * Add prediction resistance to the DRBG reseeding process.
742
743    *Paul Dale*
744
745  * Limit the number of blocks in a data unit for AES-XTS to 2^20 as
746    mandated by IEEE Std 1619-2018.
747
748    *Paul Dale*
749
750  * Added newline escaping functionality to a filename when using openssl dgst.
751    This output format is to replicate the output format found in the '*sum'
752    checksum programs. This aims to preserve backward compatibility.
753
754    *Matt Eaton, Richard Levitte, and Paul Dale*
755
756  * Removed the heartbeat message in DTLS feature, as it has very
757    little usage and doesn't seem to fulfill a valuable purpose.
758    The configuration option is now deprecated.
759
760    *Richard Levitte*
761
762  * Changed the output of 'openssl {digestname} < file' to display the
763    digest name in its output.
764
765    *Richard Levitte*
766
767  * Added a new generic trace API which provides support for enabling
768    instrumentation through trace output. This feature is mainly intended
769    as an aid for developers and is disabled by default. To utilize it,
770    OpenSSL needs to be configured with the `enable-trace` option.
771
772    If the tracing API is enabled, the application can activate trace output
773    by registering BIOs as trace channels for a number of tracing and debugging
774    categories.
775
776    The 'openssl' application has been expanded to enable any of the types
777    available via environment variables defined by the user, and serves as
778    one possible example on how to use this functionality.
779
780    *Richard Levitte & Matthias St. Pierre*
781
782  * Added build tests for C++.  These are generated files that only do one
783    thing, to include one public OpenSSL head file each.  This tests that
784    the public header files can be usefully included in a C++ application.
785
786    This test isn't enabled by default.  It can be enabled with the option
787    'enable-buildtest-c++'.
788
789    *Richard Levitte*
790
791  * Add Single Step KDF (EVP_KDF_SS) to EVP_KDF.
792
793    *Shane Lontis*
794
795  * Add KMAC to EVP_MAC.
796
797    *Shane Lontis*
798
799  * Added property based algorithm implementation selection framework to
800    the core.
801
802    *Paul Dale*
803
804  * Added SCA hardening for modular field inversion in EC_GROUP through
805    a new dedicated field_inv() pointer in EC_METHOD.
806    This also addresses a leakage affecting conversions from projective
807    to affine coordinates.
808
809    *Billy Bob Brumley, Nicola Tuveri*
810
811  * Added EVP_KDF, an EVP layer KDF API, to simplify adding KDF and PRF
812    implementations.  This includes an EVP_PKEY to EVP_KDF bridge for
813    those algorithms that were already supported through the EVP_PKEY API
814    (scrypt, TLS1 PRF and HKDF).  The low-level KDF functions for PBKDF2
815    and scrypt are now wrappers that call EVP_KDF.
816
817    *David Makepeace*
818
819  * Build devcrypto engine as a dynamic engine.
820
821    *Eneas U de Queiroz*
822
823  * Add keyed BLAKE2 to EVP_MAC.
824
825    *Antoine Salon*
826
827  * Fix a bug in the computation of the endpoint-pair shared secret used
828    by DTLS over SCTP. This breaks interoperability with older versions
829    of OpenSSL like OpenSSL 1.1.0 and OpenSSL 1.0.2. There is a runtime
830    switch SSL_MODE_DTLS_SCTP_LABEL_LENGTH_BUG (off by default) enabling
831    interoperability with such broken implementations. However, enabling
832    this switch breaks interoperability with correct implementations.
833
834  * Fix a use after free bug in d2i_X509_PUBKEY when overwriting a
835    re-used X509_PUBKEY object if the second PUBKEY is malformed.
836
837    *Bernd Edlinger*
838
839  * Move strictness check from EVP_PKEY_asn1_new() to EVP_PKEY_asn1_add0().
840
841    *Richard Levitte*
842
843  * Change the license to the Apache License v2.0.
844
845    *Richard Levitte*
846
847  * Switch to a new version scheme using three numbers MAJOR.MINOR.PATCH.
848
849    - Major releases (indicated by incrementing the MAJOR release number)
850      may introduce incompatible API/ABI changes.
851    - Minor releases (indicated by incrementing the MINOR release number)
852      may introduce new features but retain API/ABI compatibility.
853    - Patch releases (indicated by incrementing the PATCH number)
854      are intended for bug fixes and other improvements of existing
855      features only (like improving performance or adding documentation)
856      and retain API/ABI compatibility.
857
858    *Richard Levitte*
859
860  * Add support for RFC5297 SIV mode (siv128), including AES-SIV.
861
862    *Todd Short*
863
864  * Remove the 'dist' target and add a tarball building script.  The
865    'dist' target has fallen out of use, and it shouldn't be
866    necessary to configure just to create a source distribution.
867
868    *Richard Levitte*
869
870  * Recreate the OS390-Unix config target.  It no longer relies on a
871    special script like it did for OpenSSL pre-1.1.0.
872
873    *Richard Levitte*
874
875  * Instead of having the source directories listed in Configure, add
876    a 'build.info' keyword SUBDIRS to indicate what sub-directories to
877    look into.
878
879    *Richard Levitte*
880
881  * Add GMAC to EVP_MAC.
882
883    *Paul Dale*
884
885  * Ported the HMAC, CMAC and SipHash EVP_PKEY_METHODs to EVP_MAC.
886
887    *Richard Levitte*
888
889  * Added EVP_MAC, an EVP layer MAC API, to simplify adding MAC
890    implementations.  This includes a generic EVP_PKEY to EVP_MAC bridge,
891    to facilitate the continued use of MACs through raw private keys in
892    functionality such as EVP_DigestSign* and EVP_DigestVerify*.
893
894    *Richard Levitte*
895
896  * Deprecate ECDH_KDF_X9_62() and mark its replacement as internal. Users
897    should use the EVP interface instead (EVP_PKEY_CTX_set_ecdh_kdf_type).
898
899    *Antoine Salon*
900
901  * Added EVP_PKEY_ECDH_KDF_X9_63 and ecdh_KDF_X9_63() as replacements for
902    the EVP_PKEY_ECDH_KDF_X9_62 KDF type and ECDH_KDF_X9_62(). The old names
903    are retained for backwards compatibility.
904
905    *Antoine Salon*
906
907  * AES-XTS mode now enforces that its two keys are different to mitigate
908    the attacked described in "Efficient Instantiations of Tweakable
909    Blockciphers and Refinements to Modes OCB and PMAC" by Phillip Rogaway.
910    Details of this attack can be obtained from:
911    http://web.cs.ucdavis.edu/%7Erogaway/papers/offsets.pdf
912
913    *Paul Dale*
914
915  * Rename the object files, i.e. give them other names than in previous
916    versions.  Their names now include the name of the final product, as
917    well as its type mnemonic (bin, lib, shlib).
918
919    *Richard Levitte*
920
921  * Added new option for 'openssl list', '-objects', which will display the
922    list of built in objects, i.e. OIDs with names.
923
924    *Richard Levitte*
925
926  * Added support for Linux Kernel TLS data-path. The Linux Kernel data-path
927    improves application performance by removing data copies and providing
928    applications with zero-copy system calls such as sendfile and splice.
929
930    *Boris Pismenny*
931
932
933 OpenSSL 1.1.1
934 -------------
935
936 ### Changes between 1.1.1d and 1.1.1e [xx XXX xxxx] ###
937
938  * *[VMS only]* The header files that the VMS compilers include automatically,
939    `__DECC_INCLUDE_PROLOGUE.H` and `__DECC_INCLUDE_EPILOGUE.H`, use pragmas
940    that the C++ compiler doesn't understand.  This is a shortcoming in the
941    compiler, but can be worked around with `__cplusplus` guards.
942
943    C++ applications that use OpenSSL libraries must be compiled using the
944    qualifier `/NAMES=(AS_IS,SHORTENED)` to be able to use all the OpenSSL
945    functions.  Otherwise, only functions with symbols of less than 31
946    characters can be used, as the linker will not be able to successfully
947    resolve symbols with longer names.
948
949    *Richard Levitte*
950
951  * Added a new method to gather entropy on VMS, based on SYS$GET_ENTROPY.
952    The presence of this system service is determined at run-time.
953
954    *Richard Levitte*
955
956  * Added newline escaping functionality to a filename when using openssl dgst.
957    This output format is to replicate the output format found in the '*sum'
958    checksum programs. This aims to preserve backward compatibility.
959
960    *Matt Eaton, Richard Levitte, and Paul Dale*
961
962  * Print all values for a PKCS#12 attribute with 'openssl pkcs12', not just
963    the first value.
964
965    *Jon Spillett*
966
967 ### Changes between 1.1.1c and 1.1.1d [10 Sep 2019] ###
968
969  * Fixed a fork protection issue. OpenSSL 1.1.1 introduced a rewritten random
970    number generator (RNG). This was intended to include protection in the
971    event of a fork() system call in order to ensure that the parent and child
972    processes did not share the same RNG state. However this protection was not
973    being used in the default case.
974
975    A partial mitigation for this issue is that the output from a high
976    precision timer is mixed into the RNG state so the likelihood of a parent
977    and child process sharing state is significantly reduced.
978
979    If an application already calls OPENSSL_init_crypto() explicitly using
980    OPENSSL_INIT_ATFORK then this problem does not occur at all.
981    [CVE-2019-1549][]
982
983    *Matthias St. Pierre*
984
985  * For built-in EC curves, ensure an EC_GROUP built from the curve name is
986    used even when parsing explicit parameters, when loading a serialized key
987    or calling `EC_GROUP_new_from_ecpkparameters()`/
988    `EC_GROUP_new_from_ecparameters()`.
989    This prevents bypass of security hardening and performance gains,
990    especially for curves with specialized EC_METHODs.
991    By default, if a key encoded with explicit parameters is loaded and later
992    serialized, the output is still encoded with explicit parameters, even if
993    internally a "named" EC_GROUP is used for computation.
994
995    *Nicola Tuveri*
996
997  * Compute ECC cofactors if not provided during EC_GROUP construction. Before
998    this change, EC_GROUP_set_generator would accept order and/or cofactor as
999    NULL. After this change, only the cofactor parameter can be NULL. It also
1000    does some minimal sanity checks on the passed order.
1001    [CVE-2019-1547][]
1002
1003    *Billy Bob Brumley*
1004
1005  * Fixed a padding oracle in PKCS7_dataDecode and CMS_decrypt_set1_pkey.
1006    An attack is simple, if the first CMS_recipientInfo is valid but the
1007    second CMS_recipientInfo is chosen ciphertext. If the second
1008    recipientInfo decodes to PKCS #1 v1.5 form plaintext, the correct
1009    encryption key will be replaced by garbage, and the message cannot be
1010    decoded, but if the RSA decryption fails, the correct encryption key is
1011    used and the recipient will not notice the attack.
1012    As a work around for this potential attack the length of the decrypted
1013    key must be equal to the cipher default key length, in case the
1014    certifiate is not given and all recipientInfo are tried out.
1015    The old behaviour can be re-enabled in the CMS code by setting the
1016    CMS_DEBUG_DECRYPT flag.
1017    [CVE-2019-1563][]
1018
1019    *Bernd Edlinger*
1020
1021  * Early start up entropy quality from the DEVRANDOM seed source has been
1022    improved for older Linux systems.  The RAND subsystem will wait for
1023    /dev/random to be producing output before seeding from /dev/urandom.
1024    The seeded state is stored for future library initialisations using
1025    a system global shared memory segment.  The shared memory identifier
1026    can be configured by defining OPENSSL_RAND_SEED_DEVRANDOM_SHM_ID to
1027    the desired value.  The default identifier is 114.
1028
1029    *Paul Dale*
1030
1031  * Correct the extended master secret constant on EBCDIC systems. Without this
1032    fix TLS connections between an EBCDIC system and a non-EBCDIC system that
1033    negotiate EMS will fail. Unfortunately this also means that TLS connections
1034    between EBCDIC systems with this fix, and EBCDIC systems without this
1035    fix will fail if they negotiate EMS.
1036
1037    *Matt Caswell*
1038
1039  * Use Windows installation paths in the mingw builds
1040
1041    Mingw isn't a POSIX environment per se, which means that Windows
1042    paths should be used for installation.
1043    [CVE-2019-1552][]
1044
1045    *Richard Levitte*
1046
1047  * Changed DH_check to accept parameters with order q and 2q subgroups.
1048    With order 2q subgroups the bit 0 of the private key is not secret
1049    but DH_generate_key works around that by clearing bit 0 of the
1050    private key for those. This avoids leaking bit 0 of the private key.
1051
1052    *Bernd Edlinger*
1053
1054  * Significantly reduce secure memory usage by the randomness pools.
1055
1056    *Paul Dale*
1057
1058  * Revert the DEVRANDOM_WAIT feature for Linux systems
1059
1060    The DEVRANDOM_WAIT feature added a select() call to wait for the
1061    /dev/random device to become readable before reading from the
1062    /dev/urandom device.
1063
1064    It turned out that this change had negative side effects on
1065    performance which were not acceptable. After some discussion it
1066    was decided to revert this feature and leave it up to the OS
1067    resp. the platform maintainer to ensure a proper initialization
1068    during early boot time.
1069
1070    *Matthias St. Pierre*
1071
1072 ### Changes between 1.1.1b and 1.1.1c [28 May 2019] ###
1073
1074  * Add build tests for C++.  These are generated files that only do one
1075    thing, to include one public OpenSSL head file each.  This tests that
1076    the public header files can be usefully included in a C++ application.
1077
1078    This test isn't enabled by default.  It can be enabled with the option
1079    'enable-buildtest-c++'.
1080
1081    *Richard Levitte*
1082
1083  * Enable SHA3 pre-hashing for ECDSA and DSA.
1084
1085    *Patrick Steuer*
1086
1087  * Change the default RSA, DSA and DH size to 2048 bit instead of 1024.
1088    This changes the size when using the genpkey app when no size is given. It
1089    fixes an omission in earlier changes that changed all RSA, DSA and DH
1090    generation apps to use 2048 bits by default.
1091
1092    *Kurt Roeckx*
1093
1094  * Reorganize the manual pages to consistently have RETURN VALUES,
1095    EXAMPLES, SEE ALSO and HISTORY come in that order, and adjust
1096    util/fix-doc-nits accordingly.
1097
1098    *Paul Yang, Joshua Lock*
1099
1100  * Add the missing accessor EVP_PKEY_get0_engine()
1101
1102    *Matt Caswell*
1103
1104  * Have apps like 's_client' and 's_server' output the signature scheme
1105    along with other cipher suite parameters when debugging.
1106
1107    *Lorinczy Zsigmond*
1108
1109  * Make OPENSSL_config() error agnostic again.
1110
1111    *Richard Levitte*
1112
1113  * Do the error handling in RSA decryption constant time.
1114
1115    *Bernd Edlinger*
1116
1117  * Prevent over long nonces in ChaCha20-Poly1305.
1118
1119    ChaCha20-Poly1305 is an AEAD cipher, and requires a unique nonce input
1120    for every encryption operation. RFC 7539 specifies that the nonce value
1121    (IV) should be 96 bits (12 bytes). OpenSSL allows a variable nonce length
1122    and front pads the nonce with 0 bytes if it is less than 12
1123    bytes. However it also incorrectly allows a nonce to be set of up to 16
1124    bytes. In this case only the last 12 bytes are significant and any
1125    additional leading bytes are ignored.
1126
1127    It is a requirement of using this cipher that nonce values are
1128    unique. Messages encrypted using a reused nonce value are susceptible to
1129    serious confidentiality and integrity attacks. If an application changes
1130    the default nonce length to be longer than 12 bytes and then makes a
1131    change to the leading bytes of the nonce expecting the new value to be a
1132    new unique nonce then such an application could inadvertently encrypt
1133    messages with a reused nonce.
1134
1135    Additionally the ignored bytes in a long nonce are not covered by the
1136    integrity guarantee of this cipher. Any application that relies on the
1137    integrity of these ignored leading bytes of a long nonce may be further
1138    affected. Any OpenSSL internal use of this cipher, including in SSL/TLS,
1139    is safe because no such use sets such a long nonce value. However user
1140    applications that use this cipher directly and set a non-default nonce
1141    length to be longer than 12 bytes may be vulnerable.
1142
1143    This issue was reported to OpenSSL on 16th of March 2019 by Joran Dirk
1144    Greef of Ronomon.
1145    [CVE-2019-1543][]
1146
1147    *Matt Caswell*
1148
1149  * Add DEVRANDOM_WAIT feature for Linux systems
1150
1151    On older Linux systems where the getrandom() system call is not available,
1152    OpenSSL normally uses the /dev/urandom device for seeding its CSPRNG.
1153    Contrary to getrandom(), the /dev/urandom device will not block during
1154    early boot when the kernel CSPRNG has not been seeded yet.
1155
1156    To mitigate this known weakness, use select() to wait for /dev/random to
1157    become readable before reading from /dev/urandom.
1158
1159  * Ensure that SM2 only uses SM3 as digest algorithm
1160
1161    *Paul Yang*
1162
1163 ### Changes between 1.1.1a and 1.1.1b [26 Feb 2019] ###
1164
1165  * Change the info callback signals for the start and end of a post-handshake
1166    message exchange in TLSv1.3. In 1.1.1/1.1.1a we used SSL_CB_HANDSHAKE_START
1167    and SSL_CB_HANDSHAKE_DONE. Experience has shown that many applications get
1168    confused by this and assume that a TLSv1.2 renegotiation has started. This
1169    can break KeyUpdate handling. Instead we no longer signal the start and end
1170    of a post handshake message exchange (although the messages themselves are
1171    still signalled). This could break some applications that were expecting
1172    the old signals. However without this KeyUpdate is not usable for many
1173    applications.
1174
1175    *Matt Caswell*
1176
1177 ### Changes between 1.1.1 and 1.1.1a [20 Nov 2018] ###
1178
1179  * Timing vulnerability in DSA signature generation
1180
1181    The OpenSSL DSA signature algorithm has been shown to be vulnerable to a
1182    timing side channel attack. An attacker could use variations in the signing
1183    algorithm to recover the private key.
1184
1185    This issue was reported to OpenSSL on 16th October 2018 by Samuel Weiser.
1186    [CVE-2018-0734][]
1187
1188    *Paul Dale*
1189
1190  * Timing vulnerability in ECDSA signature generation
1191
1192    The OpenSSL ECDSA signature algorithm has been shown to be vulnerable to a
1193    timing side channel attack. An attacker could use variations in the signing
1194    algorithm to recover the private key.
1195
1196    This issue was reported to OpenSSL on 25th October 2018 by Samuel Weiser.
1197    [CVE-2018-0735][]
1198
1199    *Paul Dale*
1200
1201  * Fixed the issue that RAND_add()/RAND_seed() silently discards random input
1202    if its length exceeds 4096 bytes. The limit has been raised to a buffer size
1203    of two gigabytes and the error handling improved.
1204
1205    This issue was reported to OpenSSL by Dr. Falko Strenzke. It has been
1206    categorized as a normal bug, not a security issue, because the DRBG reseeds
1207    automatically and is fully functional even without additional randomness
1208    provided by the application.
1209
1210 ### Changes between 1.1.0i and 1.1.1 [11 Sep 2018] ###
1211
1212  * Add a new ClientHello callback. Provides a callback interface that gives
1213    the application the ability to adjust the nascent SSL object at the
1214    earliest stage of ClientHello processing, immediately after extensions have
1215    been collected but before they have been processed. In particular, this
1216    callback can adjust the supported TLS versions in response to the contents
1217    of the ClientHello
1218
1219    *Benjamin Kaduk*
1220
1221  * Add SM2 base algorithm support.
1222
1223    *Jack Lloyd*
1224
1225  * s390x assembly pack: add (improved) hardware-support for the following
1226    cryptographic primitives: sha3, shake, aes-gcm, aes-ccm, aes-ctr, aes-ofb,
1227    aes-cfb/cfb8, aes-ecb.
1228
1229    *Patrick Steuer*
1230
1231  * Make EVP_PKEY_asn1_new() a bit stricter about its input.  A NULL pem_str
1232    parameter is no longer accepted, as it leads to a corrupt table.  NULL
1233    pem_str is reserved for alias entries only.
1234
1235    *Richard Levitte*
1236
1237  * Use the new ec_scalar_mul_ladder scaffold to implement a specialized ladder
1238    step for prime curves. The new implementation is based on formulae from
1239    differential addition-and-doubling in homogeneous projective coordinates
1240    from Izu-Takagi "A fast parallel elliptic curve multiplication resistant
1241    against side channel attacks" and Brier-Joye "Weierstrass Elliptic Curves
1242    and Side-Channel Attacks" Eq. (8) for y-coordinate recovery, modified
1243    to work in projective coordinates.
1244
1245    *Billy Bob Brumley, Nicola Tuveri*
1246
1247  * Change generating and checking of primes so that the error rate of not
1248    being prime depends on the intended use based on the size of the input.
1249    For larger primes this will result in more rounds of Miller-Rabin.
1250    The maximal error rate for primes with more than 1080 bits is lowered
1251    to 2^-128.
1252
1253    *Kurt Roeckx, Annie Yousar*
1254
1255  * Increase the number of Miller-Rabin rounds for DSA key generating to 64.
1256
1257    *Kurt Roeckx*
1258
1259  * The 'tsget' script is renamed to 'tsget.pl', to avoid confusion when
1260    moving between systems, and to avoid confusion when a Windows build is
1261    done with mingw vs with MSVC.  For POSIX installs, there's still a
1262    symlink or copy named 'tsget' to avoid that confusion as well.
1263
1264    *Richard Levitte*
1265
1266  * Revert blinding in ECDSA sign and instead make problematic addition
1267    length-invariant. Switch even to fixed-length Montgomery multiplication.
1268
1269    *Andy Polyakov*
1270
1271  * Use the new ec_scalar_mul_ladder scaffold to implement a specialized ladder
1272    step for binary curves. The new implementation is based on formulae from
1273    differential addition-and-doubling in mixed Lopez-Dahab projective
1274    coordinates, modified to independently blind the operands.
1275
1276    *Billy Bob Brumley, Sohaib ul Hassan, Nicola Tuveri*
1277
1278  * Add a scaffold to optionally enhance the Montgomery ladder implementation
1279    for `ec_scalar_mul_ladder` (formerly `ec_mul_consttime`) allowing
1280    EC_METHODs to implement their own specialized "ladder step", to take
1281    advantage of more favorable coordinate systems or more efficient
1282    differential addition-and-doubling algorithms.
1283
1284    *Billy Bob Brumley, Sohaib ul Hassan, Nicola Tuveri*
1285
1286  * Modified the random device based seed sources to keep the relevant
1287    file descriptors open rather than reopening them on each access.
1288    This allows such sources to operate in a chroot() jail without
1289    the associated device nodes being available. This behaviour can be
1290    controlled using RAND_keep_random_devices_open().
1291
1292    *Paul Dale*
1293
1294  * Numerous side-channel attack mitigations have been applied. This may have
1295    performance impacts for some algorithms for the benefit of improved
1296    security. Specific changes are noted in this change log by their respective
1297    authors.
1298
1299    *Matt Caswell*
1300
1301  * AIX shared library support overhaul. Switch to AIX "natural" way of
1302    handling shared libraries, which means collecting shared objects of
1303    different versions and bitnesses in one common archive. This allows to
1304    mitigate conflict between 1.0 and 1.1 side-by-side installations. It
1305    doesn't affect the way 3rd party applications are linked, only how
1306    multi-version installation is managed.
1307
1308    *Andy Polyakov*
1309
1310  * Make ec_group_do_inverse_ord() more robust and available to other
1311    EC cryptosystems, so that irrespective of BN_FLG_CONSTTIME, SCA
1312    mitigations are applied to the fallback BN_mod_inverse().
1313    When using this function rather than BN_mod_inverse() directly, new
1314    EC cryptosystem implementations are then safer-by-default.
1315
1316    *Billy Bob Brumley*
1317
1318  * Add coordinate blinding for EC_POINT and implement projective
1319    coordinate blinding for generic prime curves as a countermeasure to
1320    chosen point SCA attacks.
1321
1322    *Sohaib ul Hassan, Nicola Tuveri, Billy Bob Brumley*
1323
1324  * Add blinding to ECDSA and DSA signatures to protect against side channel
1325    attacks discovered by Keegan Ryan (NCC Group).
1326
1327    *Matt Caswell*
1328
1329  * Enforce checking in the pkeyutl command line app to ensure that the input
1330    length does not exceed the maximum supported digest length when performing
1331    a sign, verify or verifyrecover operation.
1332
1333    *Matt Caswell*
1334
1335  * SSL_MODE_AUTO_RETRY is enabled by default. Applications that use blocking
1336    I/O in combination with something like select() or poll() will hang. This
1337    can be turned off again using SSL_CTX_clear_mode().
1338    Many applications do not properly handle non-application data records, and
1339    TLS 1.3 sends more of such records. Setting SSL_MODE_AUTO_RETRY works
1340    around the problems in those applications, but can also break some.
1341    It's recommended to read the manpages about SSL_read(), SSL_write(),
1342    SSL_get_error(), SSL_shutdown(), SSL_CTX_set_mode() and
1343    SSL_CTX_set_read_ahead() again.
1344
1345    *Kurt Roeckx*
1346
1347  * When unlocking a pass phrase protected PEM file or PKCS#8 container, we
1348    now allow empty (zero character) pass phrases.
1349
1350    *Richard Levitte*
1351
1352  * Apply blinding to binary field modular inversion and remove patent
1353    pending (OPENSSL_SUN_GF2M_DIV) BN_GF2m_mod_div implementation.
1354
1355    *Billy Bob Brumley*
1356
1357  * Deprecate ec2_mult.c and unify scalar multiplication code paths for
1358    binary and prime elliptic curves.
1359
1360    *Billy Bob Brumley*
1361
1362  * Remove ECDSA nonce padding: EC_POINT_mul is now responsible for
1363    constant time fixed point multiplication.
1364
1365    *Billy Bob Brumley*
1366
1367  * Revise elliptic curve scalar multiplication with timing attack
1368    defenses: ec_wNAF_mul redirects to a constant time implementation
1369    when computing fixed point and variable point multiplication (which
1370    in OpenSSL are mostly used with secret scalars in keygen, sign,
1371    ECDH derive operations).
1372    *Billy Bob Brumley, Nicola Tuveri, Cesar Pereida García,
1373     Sohaib ul Hassan*
1374
1375  * Updated CONTRIBUTING
1376
1377    *Rich Salz*
1378
1379  * Updated DRBG / RAND to request nonce and additional low entropy
1380    randomness from the system.
1381
1382    *Matthias St. Pierre*
1383
1384  * Updated 'openssl rehash' to use OpenSSL consistent default.
1385
1386    *Richard Levitte*
1387
1388  * Moved the load of the ssl_conf module to libcrypto, which helps
1389    loading engines that libssl uses before libssl is initialised.
1390
1391    *Matt Caswell*
1392
1393  * Added EVP_PKEY_sign() and EVP_PKEY_verify() for EdDSA
1394
1395    *Matt Caswell*
1396
1397  * Fixed X509_NAME_ENTRY_set to get multi-valued RDNs right in all cases.
1398
1399    *Ingo Schwarze, Rich Salz*
1400
1401  * Added output of accepting IP address and port for 'openssl s_server'
1402
1403    *Richard Levitte*
1404
1405  * Added a new API for TLSv1.3 ciphersuites:
1406       SSL_CTX_set_ciphersuites()
1407       SSL_set_ciphersuites()
1408
1409    *Matt Caswell*
1410
1411  * Memory allocation failures consistently add an error to the error
1412    stack.
1413
1414    *Rich Salz*
1415
1416  * Don't use OPENSSL_ENGINES and OPENSSL_CONF environment values
1417    in libcrypto when run as setuid/setgid.
1418
1419    *Bernd Edlinger*
1420
1421  * Load any config file by default when libssl is used.
1422
1423    *Matt Caswell*
1424
1425  * Added new public header file <openssl/rand_drbg.h> and documentation
1426    for the RAND_DRBG API. See manual page RAND_DRBG(7) for an overview.
1427
1428    *Matthias St. Pierre*
1429
1430  * QNX support removed (cannot find contributors to get their approval
1431    for the license change).
1432
1433    *Rich Salz*
1434
1435  * TLSv1.3 replay protection for early data has been implemented. See the
1436    SSL_read_early_data() man page for further details.
1437
1438    *Matt Caswell*
1439
1440  * Separated TLSv1.3 ciphersuite configuration out from TLSv1.2 ciphersuite
1441    configuration. TLSv1.3 ciphersuites are not compatible with TLSv1.2 and
1442    below. Similarly TLSv1.2 ciphersuites are not compatible with TLSv1.3.
1443    In order to avoid issues where legacy TLSv1.2 ciphersuite configuration
1444    would otherwise inadvertently disable all TLSv1.3 ciphersuites the
1445    configuration has been separated out. See the ciphers man page or the
1446    SSL_CTX_set_ciphersuites() man page for more information.
1447
1448    *Matt Caswell*
1449
1450  * On POSIX (BSD, Linux, ...) systems the ocsp(1) command running
1451    in responder mode now supports the new "-multi" option, which
1452    spawns the specified number of child processes to handle OCSP
1453    requests.  The "-timeout" option now also limits the OCSP
1454    responder's patience to wait to receive the full client request
1455    on a newly accepted connection. Child processes are respawned
1456    as needed, and the CA index file is automatically reloaded
1457    when changed.  This makes it possible to run the "ocsp" responder
1458    as a long-running service, making the OpenSSL CA somewhat more
1459    feature-complete.  In this mode, most diagnostic messages logged
1460    after entering the event loop are logged via syslog(3) rather than
1461    written to stderr.
1462
1463    *Viktor Dukhovni*
1464
1465  * Added support for X448 and Ed448. Heavily based on original work by
1466    Mike Hamburg.
1467
1468    *Matt Caswell*
1469
1470  * Extend OSSL_STORE with capabilities to search and to narrow the set of
1471    objects loaded.  This adds the functions OSSL_STORE_expect() and
1472    OSSL_STORE_find() as well as needed tools to construct searches and
1473    get the search data out of them.
1474
1475    *Richard Levitte*
1476
1477  * Support for TLSv1.3 added. Note that users upgrading from an earlier
1478    version of OpenSSL should review their configuration settings to ensure
1479    that they are still appropriate for TLSv1.3. For further information see:
1480    https://wiki.openssl.org/index.php/TLS1.3
1481
1482    *Matt Caswell*
1483
1484  * Grand redesign of the OpenSSL random generator
1485
1486    The default RAND method now utilizes an AES-CTR DRBG according to
1487    NIST standard SP 800-90Ar1. The new random generator is essentially
1488    a port of the default random generator from the OpenSSL FIPS 2.0
1489    object module. It is a hybrid deterministic random bit generator
1490    using an AES-CTR bit stream and which seeds and reseeds itself
1491    automatically using trusted system entropy sources.
1492
1493    Some of its new features are:
1494     - Support for multiple DRBG instances with seed chaining.
1495     - The default RAND method makes use of a DRBG.
1496     - There is a public and private DRBG instance.
1497     - The DRBG instances are fork-safe.
1498     - Keep all global DRBG instances on the secure heap if it is enabled.
1499     - The public and private DRBG instance are per thread for lock free
1500       operation
1501
1502    *Paul Dale, Benjamin Kaduk, Kurt Roeckx, Rich Salz, Matthias St. Pierre*
1503
1504  * Changed Configure so it only says what it does and doesn't dump
1505    so much data.  Instead, ./configdata.pm should be used as a script
1506    to display all sorts of configuration data.
1507
1508    *Richard Levitte*
1509
1510  * Added processing of "make variables" to Configure.
1511
1512    *Richard Levitte*
1513
1514  * Added SHA512/224 and SHA512/256 algorithm support.
1515
1516    *Paul Dale*
1517
1518  * The last traces of Netware support, first removed in 1.1.0, have
1519    now been removed.
1520
1521    *Rich Salz*
1522
1523  * Get rid of Makefile.shared, and in the process, make the processing
1524    of certain files (rc.obj, or the .def/.map/.opt files produced from
1525    the ordinal files) more visible and hopefully easier to trace and
1526    debug (or make silent).
1527
1528    *Richard Levitte*
1529
1530  * Make it possible to have environment variable assignments as
1531    arguments to config / Configure.
1532
1533    *Richard Levitte*
1534
1535  * Add multi-prime RSA (RFC 8017) support.
1536
1537    *Paul Yang*
1538
1539  * Add SM3 implemented according to GB/T 32905-2016
1540    * Jack Lloyd <jack.lloyd@ribose.com>,
1541      Ronald Tse <ronald.tse@ribose.com>,
1542      Erick Borsboom <erick.borsboom@ribose.com> *
1543
1544  * Add 'Maximum Fragment Length' TLS extension negotiation and support
1545    as documented in RFC6066.
1546    Based on a patch from Tomasz Moń
1547
1548    *Filipe Raimundo da Silva*
1549
1550  * Add SM4 implemented according to GB/T 32907-2016.
1551    * Jack Lloyd <jack.lloyd@ribose.com>,
1552      Ronald Tse <ronald.tse@ribose.com>,
1553      Erick Borsboom <erick.borsboom@ribose.com> *
1554
1555  * Reimplement -newreq-nodes and ERR_error_string_n; the
1556    original author does not agree with the license change.
1557
1558    *Rich Salz*
1559
1560  * Add ARIA AEAD TLS support.
1561
1562    *Jon Spillett*
1563
1564  * Some macro definitions to support VS6 have been removed.  Visual
1565    Studio 6 has not worked since 1.1.0
1566
1567    *Rich Salz*
1568
1569  * Add ERR_clear_last_mark(), to allow callers to clear the last mark
1570    without clearing the errors.
1571
1572    *Richard Levitte*
1573
1574  * Add "atfork" functions.  If building on a system that without
1575    pthreads, see doc/man3/OPENSSL_fork_prepare.pod for application
1576    requirements.  The RAND facility now uses/requires this.
1577
1578    *Rich Salz*
1579
1580  * Add SHA3.
1581
1582    *Andy Polyakov*
1583
1584  * The UI API becomes a permanent and integral part of libcrypto, i.e.
1585    not possible to disable entirely.  However, it's still possible to
1586    disable the console reading UI method, UI_OpenSSL() (use UI_null()
1587    as a fallback).
1588
1589    To disable, configure with 'no-ui-console'.  'no-ui' is still
1590    possible to use as an alias.  Check at compile time with the
1591    macro OPENSSL_NO_UI_CONSOLE.  The macro OPENSSL_NO_UI is still
1592    possible to check and is an alias for OPENSSL_NO_UI_CONSOLE.
1593
1594    *Richard Levitte*
1595
1596  * Add a STORE module, which implements a uniform and URI based reader of
1597    stores that can contain keys, certificates, CRLs and numerous other
1598    objects.  The main API is loosely based on a few stdio functions,
1599    and includes OSSL_STORE_open, OSSL_STORE_load, OSSL_STORE_eof,
1600    OSSL_STORE_error and OSSL_STORE_close.
1601    The implementation uses backends called "loaders" to implement arbitrary
1602    URI schemes.  There is one built in "loader" for the 'file' scheme.
1603
1604    *Richard Levitte*
1605
1606  * Add devcrypto engine.  This has been implemented against cryptodev-linux,
1607    then adjusted to work on FreeBSD 8.4 as well.
1608    Enable by configuring with 'enable-devcryptoeng'.  This is done by default
1609    on BSD implementations, as cryptodev.h is assumed to exist on all of them.
1610
1611    *Richard Levitte*
1612
1613  * Module names can prefixed with OSSL_ or OPENSSL_.  This affects
1614    util/mkerr.pl, which is adapted to allow those prefixes, leading to
1615    error code calls like this:
1616
1617            OSSL_FOOerr(OSSL_FOO_F_SOMETHING, OSSL_FOO_R_WHATEVER);
1618
1619    With this change, we claim the namespaces OSSL and OPENSSL in a manner
1620    that can be encoded in C.  For the foreseeable future, this will only
1621    affect new modules.
1622
1623    *Richard Levitte and Tim Hudson*
1624
1625  * Removed BSD cryptodev engine.
1626
1627    *Rich Salz*
1628
1629  * Add a build target 'build_all_generated', to build all generated files
1630    and only that.  This can be used to prepare everything that requires
1631    things like perl for a system that lacks perl and then move everything
1632    to that system and do the rest of the build there.
1633
1634    *Richard Levitte*
1635
1636  * In the UI interface, make it possible to duplicate the user data.  This
1637    can be used by engines that need to retain the data for a longer time
1638    than just the call where this user data is passed.
1639
1640    *Richard Levitte*
1641
1642  * Ignore the '-named_curve auto' value for compatibility of applications
1643    with OpenSSL 1.0.2.
1644
1645    *Tomas Mraz <tmraz@fedoraproject.org>*
1646
1647  * Fragmented SSL/TLS alerts are no longer accepted. An alert message is 2
1648    bytes long. In theory it is permissible in SSLv3 - TLSv1.2 to fragment such
1649    alerts across multiple records (some of which could be empty). In practice
1650    it make no sense to send an empty alert record, or to fragment one. TLSv1.3
1651    prohibits this altogether and other libraries (BoringSSL, NSS) do not
1652    support this at all. Supporting it adds significant complexity to the
1653    record layer, and its removal is unlikely to cause interoperability
1654    issues.
1655
1656    *Matt Caswell*
1657
1658  * Add the ASN.1 types INT32, UINT32, INT64, UINT64 and variants prefixed
1659    with Z.  These are meant to replace LONG and ZLONG and to be size safe.
1660    The use of LONG and ZLONG is discouraged and scheduled for deprecation
1661    in OpenSSL 1.2.0.
1662
1663    *Richard Levitte*
1664
1665  * Add the 'z' and 'j' modifiers to BIO_printf() et al formatting string,
1666    'z' is to be used for [s]size_t, and 'j' - with [u]int64_t.
1667
1668    *Richard Levitte, Andy Polyakov*
1669
1670  * Add EC_KEY_get0_engine(), which does for EC_KEY what RSA_get0_engine()
1671    does for RSA, etc.
1672
1673    *Richard Levitte*
1674
1675  * Have 'config' recognise 64-bit mingw and choose 'mingw64' as the target
1676    platform rather than 'mingw'.
1677
1678    *Richard Levitte*
1679
1680  * The functions X509_STORE_add_cert and X509_STORE_add_crl return
1681    success if they are asked to add an object which already exists
1682    in the store. This change cascades to other functions which load
1683    certificates and CRLs.
1684
1685    *Paul Dale*
1686
1687  * x86_64 assembly pack: annotate code with DWARF CFI directives to
1688    facilitate stack unwinding even from assembly subroutines.
1689
1690    *Andy Polyakov*
1691
1692  * Remove VAX C specific definitions of OPENSSL_EXPORT, OPENSSL_EXTERN.
1693    Also remove OPENSSL_GLOBAL entirely, as it became a no-op.
1694
1695    *Richard Levitte*
1696
1697  * Remove the VMS-specific reimplementation of gmtime from crypto/o_times.c.
1698    VMS C's RTL has a fully up to date gmtime() and gmtime_r() since V7.1,
1699    which is the minimum version we support.
1700
1701    *Richard Levitte*
1702
1703  * Certificate time validation (X509_cmp_time) enforces stricter
1704    compliance with RFC 5280. Fractional seconds and timezone offsets
1705    are no longer allowed.
1706
1707    *Emilia Käsper*
1708
1709  * Add support for ARIA
1710
1711    *Paul Dale*
1712
1713  * s_client will now send the Server Name Indication (SNI) extension by
1714    default unless the new "-noservername" option is used. The server name is
1715    based on the host provided to the "-connect" option unless overridden by
1716    using "-servername".
1717
1718    *Matt Caswell*
1719
1720  * Add support for SipHash
1721
1722    *Todd Short*
1723
1724  * OpenSSL now fails if it receives an unrecognised record type in TLS1.0
1725    or TLS1.1. Previously this only happened in SSLv3 and TLS1.2. This is to
1726    prevent issues where no progress is being made and the peer continually
1727    sends unrecognised record types, using up resources processing them.
1728
1729    *Matt Caswell*
1730
1731  * 'openssl passwd' can now produce SHA256 and SHA512 based output,
1732    using the algorithm defined in
1733    https://www.akkadia.org/drepper/SHA-crypt.txt
1734
1735    *Richard Levitte*
1736
1737  * Heartbeat support has been removed; the ABI is changed for now.
1738
1739    *Richard Levitte, Rich Salz*
1740
1741  * Support for SSL_OP_NO_ENCRYPT_THEN_MAC in SSL_CONF_cmd.
1742
1743    *Emilia Käsper*
1744
1745  * The RSA "null" method, which was partially supported to avoid patent
1746    issues, has been replaced to always returns NULL.
1747
1748    *Rich Salz*
1749
1750 OpenSSL 1.1.0
1751 -------------
1752
1753
1754 ### Changes between 1.1.0k and 1.1.0l [10 Sep 2019] ###
1755
1756  * For built-in EC curves, ensure an EC_GROUP built from the curve name is
1757    used even when parsing explicit parameters, when loading a serialized key
1758    or calling `EC_GROUP_new_from_ecpkparameters()`/
1759    `EC_GROUP_new_from_ecparameters()`.
1760    This prevents bypass of security hardening and performance gains,
1761    especially for curves with specialized EC_METHODs.
1762    By default, if a key encoded with explicit parameters is loaded and later
1763    serialized, the output is still encoded with explicit parameters, even if
1764    internally a "named" EC_GROUP is used for computation.
1765
1766    *Nicola Tuveri*
1767
1768  * Compute ECC cofactors if not provided during EC_GROUP construction. Before
1769    this change, EC_GROUP_set_generator would accept order and/or cofactor as
1770    NULL. After this change, only the cofactor parameter can be NULL. It also
1771    does some minimal sanity checks on the passed order.
1772    [CVE-2019-1547][]
1773
1774    *Billy Bob Brumley*
1775
1776  * Fixed a padding oracle in PKCS7_dataDecode and CMS_decrypt_set1_pkey.
1777    An attack is simple, if the first CMS_recipientInfo is valid but the
1778    second CMS_recipientInfo is chosen ciphertext. If the second
1779    recipientInfo decodes to PKCS #1 v1.5 form plaintext, the correct
1780    encryption key will be replaced by garbage, and the message cannot be
1781    decoded, but if the RSA decryption fails, the correct encryption key is
1782    used and the recipient will not notice the attack.
1783    As a work around for this potential attack the length of the decrypted
1784    key must be equal to the cipher default key length, in case the
1785    certifiate is not given and all recipientInfo are tried out.
1786    The old behaviour can be re-enabled in the CMS code by setting the
1787    CMS_DEBUG_DECRYPT flag.
1788    [CVE-2019-1563][]
1789
1790    *Bernd Edlinger*
1791
1792  * Use Windows installation paths in the mingw builds
1793
1794    Mingw isn't a POSIX environment per se, which means that Windows
1795    paths should be used for installation.
1796    [CVE-2019-1552][]
1797
1798    *Richard Levitte*
1799
1800 ### Changes between 1.1.0j and 1.1.0k [28 May 2019] ###
1801
1802  * Change the default RSA, DSA and DH size to 2048 bit instead of 1024.
1803    This changes the size when using the genpkey app when no size is given. It
1804    fixes an omission in earlier changes that changed all RSA, DSA and DH
1805    generation apps to use 2048 bits by default.
1806
1807    *Kurt Roeckx*
1808
1809  * Prevent over long nonces in ChaCha20-Poly1305.
1810
1811    ChaCha20-Poly1305 is an AEAD cipher, and requires a unique nonce input
1812    for every encryption operation. RFC 7539 specifies that the nonce value
1813    (IV) should be 96 bits (12 bytes). OpenSSL allows a variable nonce length
1814    and front pads the nonce with 0 bytes if it is less than 12
1815    bytes. However it also incorrectly allows a nonce to be set of up to 16
1816    bytes. In this case only the last 12 bytes are significant and any
1817    additional leading bytes are ignored.
1818
1819    It is a requirement of using this cipher that nonce values are
1820    unique. Messages encrypted using a reused nonce value are susceptible to
1821    serious confidentiality and integrity attacks. If an application changes
1822    the default nonce length to be longer than 12 bytes and then makes a
1823    change to the leading bytes of the nonce expecting the new value to be a
1824    new unique nonce then such an application could inadvertently encrypt
1825    messages with a reused nonce.
1826
1827    Additionally the ignored bytes in a long nonce are not covered by the
1828    integrity guarantee of this cipher. Any application that relies on the
1829    integrity of these ignored leading bytes of a long nonce may be further
1830    affected. Any OpenSSL internal use of this cipher, including in SSL/TLS,
1831    is safe because no such use sets such a long nonce value. However user
1832    applications that use this cipher directly and set a non-default nonce
1833    length to be longer than 12 bytes may be vulnerable.
1834
1835    This issue was reported to OpenSSL on 16th of March 2019 by Joran Dirk
1836    Greef of Ronomon.
1837    [CVE-2019-1543][]
1838
1839    *Matt Caswell*
1840
1841  * Added SCA hardening for modular field inversion in EC_GROUP through
1842    a new dedicated field_inv() pointer in EC_METHOD.
1843    This also addresses a leakage affecting conversions from projective
1844    to affine coordinates.
1845
1846    *Billy Bob Brumley, Nicola Tuveri*
1847
1848  * Fix a use after free bug in d2i_X509_PUBKEY when overwriting a
1849    re-used X509_PUBKEY object if the second PUBKEY is malformed.
1850
1851    *Bernd Edlinger*
1852
1853  * Move strictness check from EVP_PKEY_asn1_new() to EVP_PKEY_asn1_add0().
1854
1855    *Richard Levitte*
1856
1857  * Remove the 'dist' target and add a tarball building script.  The
1858    'dist' target has fallen out of use, and it shouldn't be
1859    necessary to configure just to create a source distribution.
1860
1861    *Richard Levitte*
1862
1863 ### Changes between 1.1.0i and 1.1.0j [20 Nov 2018] ###
1864
1865  * Timing vulnerability in DSA signature generation
1866
1867    The OpenSSL DSA signature algorithm has been shown to be vulnerable to a
1868    timing side channel attack. An attacker could use variations in the signing
1869    algorithm to recover the private key.
1870
1871    This issue was reported to OpenSSL on 16th October 2018 by Samuel Weiser.
1872    [CVE-2018-0734][]
1873
1874    *Paul Dale*
1875
1876  * Timing vulnerability in ECDSA signature generation
1877
1878    The OpenSSL ECDSA signature algorithm has been shown to be vulnerable to a
1879    timing side channel attack. An attacker could use variations in the signing
1880    algorithm to recover the private key.
1881
1882    This issue was reported to OpenSSL on 25th October 2018 by Samuel Weiser.
1883    [CVE-2018-0735][]
1884
1885    *Paul Dale*
1886
1887  * Add coordinate blinding for EC_POINT and implement projective
1888    coordinate blinding for generic prime curves as a countermeasure to
1889    chosen point SCA attacks.
1890
1891    *Sohaib ul Hassan, Nicola Tuveri, Billy Bob Brumley*
1892
1893 ### Changes between 1.1.0h and 1.1.0i [14 Aug 2018] ###
1894
1895  * Client DoS due to large DH parameter
1896
1897    During key agreement in a TLS handshake using a DH(E) based ciphersuite a
1898    malicious server can send a very large prime value to the client. This will
1899    cause the client to spend an unreasonably long period of time generating a
1900    key for this prime resulting in a hang until the client has finished. This
1901    could be exploited in a Denial Of Service attack.
1902
1903    This issue was reported to OpenSSL on 5th June 2018 by Guido Vranken
1904    [CVE-2018-0732][]
1905
1906    *Guido Vranken*
1907
1908  * Cache timing vulnerability in RSA Key Generation
1909
1910    The OpenSSL RSA Key generation algorithm has been shown to be vulnerable to
1911    a cache timing side channel attack. An attacker with sufficient access to
1912    mount cache timing attacks during the RSA key generation process could
1913    recover the private key.
1914
1915    This issue was reported to OpenSSL on 4th April 2018 by Alejandro Cabrera
1916    Aldaya, Billy Brumley, Cesar Pereida Garcia and Luis Manuel Alvarez Tapia.
1917    [CVE-2018-0737][]
1918
1919    *Billy Brumley*
1920
1921  * Make EVP_PKEY_asn1_new() a bit stricter about its input.  A NULL pem_str
1922    parameter is no longer accepted, as it leads to a corrupt table.  NULL
1923    pem_str is reserved for alias entries only.
1924
1925    *Richard Levitte*
1926
1927  * Revert blinding in ECDSA sign and instead make problematic addition
1928    length-invariant. Switch even to fixed-length Montgomery multiplication.
1929
1930    *Andy Polyakov*
1931
1932  * Change generating and checking of primes so that the error rate of not
1933    being prime depends on the intended use based on the size of the input.
1934    For larger primes this will result in more rounds of Miller-Rabin.
1935    The maximal error rate for primes with more than 1080 bits is lowered
1936    to 2^-128.
1937
1938    *Kurt Roeckx, Annie Yousar*
1939
1940  * Increase the number of Miller-Rabin rounds for DSA key generating to 64.
1941
1942    *Kurt Roeckx*
1943
1944  * Add blinding to ECDSA and DSA signatures to protect against side channel
1945    attacks discovered by Keegan Ryan (NCC Group).
1946
1947    *Matt Caswell*
1948
1949  * When unlocking a pass phrase protected PEM file or PKCS#8 container, we
1950    now allow empty (zero character) pass phrases.
1951
1952    *Richard Levitte*
1953
1954  * Certificate time validation (X509_cmp_time) enforces stricter
1955    compliance with RFC 5280. Fractional seconds and timezone offsets
1956    are no longer allowed.
1957
1958    *Emilia Käsper*
1959
1960  * Fixed a text canonicalisation bug in CMS
1961
1962    Where a CMS detached signature is used with text content the text goes
1963    through a canonicalisation process first prior to signing or verifying a
1964    signature. This process strips trailing space at the end of lines, converts
1965    line terminators to CRLF and removes additional trailing line terminators
1966    at the end of a file. A bug in the canonicalisation process meant that
1967    some characters, such as form-feed, were incorrectly treated as whitespace
1968    and removed. This is contrary to the specification (RFC5485). This fix
1969    could mean that detached text data signed with an earlier version of
1970    OpenSSL 1.1.0 may fail to verify using the fixed version, or text data
1971    signed with a fixed OpenSSL may fail to verify with an earlier version of
1972    OpenSSL 1.1.0. A workaround is to only verify the canonicalised text data
1973    and use the "-binary" flag (for the "cms" command line application) or set
1974    the SMIME_BINARY/PKCS7_BINARY/CMS_BINARY flags (if using CMS_verify()).
1975
1976    *Matt Caswell*
1977
1978 ### Changes between 1.1.0g and 1.1.0h [27 Mar 2018] ###
1979
1980  * Constructed ASN.1 types with a recursive definition could exceed the stack
1981
1982    Constructed ASN.1 types with a recursive definition (such as can be found
1983    in PKCS7) could eventually exceed the stack given malicious input with
1984    excessive recursion. This could result in a Denial Of Service attack. There
1985    are no such structures used within SSL/TLS that come from untrusted sources
1986    so this is considered safe.
1987
1988    This issue was reported to OpenSSL on 4th January 2018 by the OSS-fuzz
1989    project.
1990    [CVE-2018-0739][]
1991
1992    *Matt Caswell*
1993
1994  * Incorrect CRYPTO_memcmp on HP-UX PA-RISC
1995
1996    Because of an implementation bug the PA-RISC CRYPTO_memcmp function is
1997    effectively reduced to only comparing the least significant bit of each
1998    byte. This allows an attacker to forge messages that would be considered as
1999    authenticated in an amount of tries lower than that guaranteed by the
2000    security claims of the scheme. The module can only be compiled by the
2001    HP-UX assembler, so that only HP-UX PA-RISC targets are affected.
2002
2003    This issue was reported to OpenSSL on 2nd March 2018 by Peter Waltenberg
2004    (IBM).
2005    [CVE-2018-0733][]
2006
2007    *Andy Polyakov*
2008
2009  * Add a build target 'build_all_generated', to build all generated files
2010    and only that.  This can be used to prepare everything that requires
2011    things like perl for a system that lacks perl and then move everything
2012    to that system and do the rest of the build there.
2013
2014    *Richard Levitte*
2015
2016  * Backport SSL_OP_NO_RENGOTIATION
2017
2018    OpenSSL 1.0.2 and below had the ability to disable renegotiation using the
2019    (undocumented) SSL3_FLAGS_NO_RENEGOTIATE_CIPHERS flag. Due to the opacity
2020    changes this is no longer possible in 1.1.0. Therefore the new
2021    SSL_OP_NO_RENEGOTIATION option from 1.1.1-dev has been backported to
2022    1.1.0 to provide equivalent functionality.
2023
2024    Note that if an application built against 1.1.0h headers (or above) is run
2025    using an older version of 1.1.0 (prior to 1.1.0h) then the option will be
2026    accepted but nothing will happen, i.e. renegotiation will not be prevented.
2027
2028    *Matt Caswell*
2029
2030  * Removed the OS390-Unix config target.  It relied on a script that doesn't
2031    exist.
2032
2033    *Rich Salz*
2034
2035  * rsaz_1024_mul_avx2 overflow bug on x86_64
2036
2037    There is an overflow bug in the AVX2 Montgomery multiplication procedure
2038    used in exponentiation with 1024-bit moduli. No EC algorithms are affected.
2039    Analysis suggests that attacks against RSA and DSA as a result of this
2040    defect would be very difficult to perform and are not believed likely.
2041    Attacks against DH1024 are considered just feasible, because most of the
2042    work necessary to deduce information about a private key may be performed
2043    offline. The amount of resources required for such an attack would be
2044    significant. However, for an attack on TLS to be meaningful, the server
2045    would have to share the DH1024 private key among multiple clients, which is
2046    no longer an option since CVE-2016-0701.
2047
2048    This only affects processors that support the AVX2 but not ADX extensions
2049    like Intel Haswell (4th generation).
2050
2051    This issue was reported to OpenSSL by David Benjamin (Google). The issue
2052    was originally found via the OSS-Fuzz project.
2053    [CVE-2017-3738][]
2054
2055    *Andy Polyakov*
2056
2057 ### Changes between 1.1.0f and 1.1.0g [2 Nov 2017] ###
2058
2059  * bn_sqrx8x_internal carry bug on x86_64
2060
2061    There is a carry propagating bug in the x86_64 Montgomery squaring
2062    procedure. No EC algorithms are affected. Analysis suggests that attacks
2063    against RSA and DSA as a result of this defect would be very difficult to
2064    perform and are not believed likely. Attacks against DH are considered just
2065    feasible (although very difficult) because most of the work necessary to
2066    deduce information about a private key may be performed offline. The amount
2067    of resources required for such an attack would be very significant and
2068    likely only accessible to a limited number of attackers. An attacker would
2069    additionally need online access to an unpatched system using the target
2070    private key in a scenario with persistent DH parameters and a private
2071    key that is shared between multiple clients.
2072
2073    This only affects processors that support the BMI1, BMI2 and ADX extensions
2074    like Intel Broadwell (5th generation) and later or AMD Ryzen.
2075
2076    This issue was reported to OpenSSL by the OSS-Fuzz project.
2077    [CVE-2017-3736][]
2078
2079    *Andy Polyakov*
2080
2081  * Malformed X.509 IPAddressFamily could cause OOB read
2082
2083    If an X.509 certificate has a malformed IPAddressFamily extension,
2084    OpenSSL could do a one-byte buffer overread. The most likely result
2085    would be an erroneous display of the certificate in text format.
2086
2087    This issue was reported to OpenSSL by the OSS-Fuzz project.
2088    [CVE-2017-3735][]
2089
2090    *Rich Salz*
2091
2092 ### Changes between 1.1.0e and 1.1.0f [25 May 2017] ###
2093
2094  * Have 'config' recognise 64-bit mingw and choose 'mingw64' as the target
2095    platform rather than 'mingw'.
2096
2097    *Richard Levitte*
2098
2099  * Remove the VMS-specific reimplementation of gmtime from crypto/o_times.c.
2100    VMS C's RTL has a fully up to date gmtime() and gmtime_r() since V7.1,
2101    which is the minimum version we support.
2102
2103    *Richard Levitte*
2104
2105 ### Changes between 1.1.0d and 1.1.0e [16 Feb 2017] ###
2106
2107  * Encrypt-Then-Mac renegotiation crash
2108
2109    During a renegotiation handshake if the Encrypt-Then-Mac extension is
2110    negotiated where it was not in the original handshake (or vice-versa) then
2111    this can cause OpenSSL to crash (dependant on ciphersuite). Both clients
2112    and servers are affected.
2113
2114    This issue was reported to OpenSSL by Joe Orton (Red Hat).
2115    [CVE-2017-3733][]
2116
2117    *Matt Caswell*
2118
2119 ### Changes between 1.1.0c and 1.1.0d [26 Jan 2017] ###
2120
2121  * Truncated packet could crash via OOB read
2122
2123    If one side of an SSL/TLS path is running on a 32-bit host and a specific
2124    cipher is being used, then a truncated packet can cause that host to
2125    perform an out-of-bounds read, usually resulting in a crash.
2126
2127    This issue was reported to OpenSSL by Robert Święcki of Google.
2128    [CVE-2017-3731][]
2129
2130    *Andy Polyakov*
2131
2132  * Bad (EC)DHE parameters cause a client crash
2133
2134    If a malicious server supplies bad parameters for a DHE or ECDHE key
2135    exchange then this can result in the client attempting to dereference a
2136    NULL pointer leading to a client crash. This could be exploited in a Denial
2137    of Service attack.
2138
2139    This issue was reported to OpenSSL by Guido Vranken.
2140    [CVE-2017-3730][]
2141
2142    *Matt Caswell*
2143
2144  * BN_mod_exp may produce incorrect results on x86_64
2145
2146    There is a carry propagating bug in the x86_64 Montgomery squaring
2147    procedure. No EC algorithms are affected. Analysis suggests that attacks
2148    against RSA and DSA as a result of this defect would be very difficult to
2149    perform and are not believed likely. Attacks against DH are considered just
2150    feasible (although very difficult) because most of the work necessary to
2151    deduce information about a private key may be performed offline. The amount
2152    of resources required for such an attack would be very significant and
2153    likely only accessible to a limited number of attackers. An attacker would
2154    additionally need online access to an unpatched system using the target
2155    private key in a scenario with persistent DH parameters and a private
2156    key that is shared between multiple clients. For example this can occur by
2157    default in OpenSSL DHE based SSL/TLS ciphersuites. Note: This issue is very
2158    similar to CVE-2015-3193 but must be treated as a separate problem.
2159
2160    This issue was reported to OpenSSL by the OSS-Fuzz project.
2161    [CVE-2017-3732][]
2162
2163    *Andy Polyakov*
2164
2165 ### Changes between 1.1.0b and 1.1.0c [10 Nov 2016] ###
2166
2167  * ChaCha20/Poly1305 heap-buffer-overflow
2168
2169    TLS connections using *-CHACHA20-POLY1305 ciphersuites are susceptible to
2170    a DoS attack by corrupting larger payloads. This can result in an OpenSSL
2171    crash. This issue is not considered to be exploitable beyond a DoS.
2172
2173    This issue was reported to OpenSSL by Robert Święcki (Google Security Team)
2174    [CVE-2016-7054][]
2175
2176    *Richard Levitte*
2177
2178  * CMS Null dereference
2179
2180    Applications parsing invalid CMS structures can crash with a NULL pointer
2181    dereference. This is caused by a bug in the handling of the ASN.1 CHOICE
2182    type in OpenSSL 1.1.0 which can result in a NULL value being passed to the
2183    structure callback if an attempt is made to free certain invalid encodings.
2184    Only CHOICE structures using a callback which do not handle NULL value are
2185    affected.
2186
2187    This issue was reported to OpenSSL by Tyler Nighswander of ForAllSecure.
2188    [CVE-2016-7053][]
2189
2190    *Stephen Henson*
2191
2192  * Montgomery multiplication may produce incorrect results
2193
2194    There is a carry propagating bug in the Broadwell-specific Montgomery
2195    multiplication procedure that handles input lengths divisible by, but
2196    longer than 256 bits. Analysis suggests that attacks against RSA, DSA
2197    and DH private keys are impossible. This is because the subroutine in
2198    question is not used in operations with the private key itself and an input
2199    of the attacker's direct choice. Otherwise the bug can manifest itself as
2200    transient authentication and key negotiation failures or reproducible
2201    erroneous outcome of public-key operations with specially crafted input.
2202    Among EC algorithms only Brainpool P-512 curves are affected and one
2203    presumably can attack ECDH key negotiation. Impact was not analyzed in
2204    detail, because pre-requisites for attack are considered unlikely. Namely
2205    multiple clients have to choose the curve in question and the server has to
2206    share the private key among them, neither of which is default behaviour.
2207    Even then only clients that chose the curve will be affected.
2208
2209    This issue was publicly reported as transient failures and was not
2210    initially recognized as a security issue. Thanks to Richard Morgan for
2211    providing reproducible case.
2212    [CVE-2016-7055][]
2213
2214    *Andy Polyakov*
2215
2216  * Removed automatic addition of RPATH in shared libraries and executables,
2217    as this was a remainder from OpenSSL 1.0.x and isn't needed any more.
2218
2219    *Richard Levitte*
2220
2221 ### Changes between 1.1.0a and 1.1.0b [26 Sep 2016] ###
2222
2223  * Fix Use After Free for large message sizes
2224
2225    The patch applied to address CVE-2016-6307 resulted in an issue where if a
2226    message larger than approx 16k is received then the underlying buffer to
2227    store the incoming message is reallocated and moved. Unfortunately a
2228    dangling pointer to the old location is left which results in an attempt to
2229    write to the previously freed location. This is likely to result in a
2230    crash, however it could potentially lead to execution of arbitrary code.
2231
2232    This issue only affects OpenSSL 1.1.0a.
2233
2234    This issue was reported to OpenSSL by Robert Święcki.
2235    [CVE-2016-6309][]
2236
2237    *Matt Caswell*
2238
2239 ### Changes between 1.1.0 and 1.1.0a [22 Sep 2016] ###
2240
2241  * OCSP Status Request extension unbounded memory growth
2242
2243    A malicious client can send an excessively large OCSP Status Request
2244    extension. If that client continually requests renegotiation, sending a
2245    large OCSP Status Request extension each time, then there will be unbounded
2246    memory growth on the server. This will eventually lead to a Denial Of
2247    Service attack through memory exhaustion. Servers with a default
2248    configuration are vulnerable even if they do not support OCSP. Builds using
2249    the "no-ocsp" build time option are not affected.
2250
2251    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
2252    [CVE-2016-6304][]
2253
2254    *Matt Caswell*
2255
2256  * SSL_peek() hang on empty record
2257
2258    OpenSSL 1.1.0 SSL/TLS will hang during a call to SSL_peek() if the peer
2259    sends an empty record. This could be exploited by a malicious peer in a
2260    Denial Of Service attack.
2261
2262    This issue was reported to OpenSSL by Alex Gaynor.
2263    [CVE-2016-6305][]
2264
2265    *Matt Caswell*
2266
2267  * Excessive allocation of memory in tls_get_message_header() and
2268    dtls1_preprocess_fragment()
2269
2270    A (D)TLS message includes 3 bytes for its length in the header for the
2271    message. This would allow for messages up to 16Mb in length. Messages of
2272    this length are excessive and OpenSSL includes a check to ensure that a
2273    peer is sending reasonably sized messages in order to avoid too much memory
2274    being consumed to service a connection. A flaw in the logic of version
2275    1.1.0 means that memory for the message is allocated too early, prior to
2276    the excessive message length check. Due to way memory is allocated in
2277    OpenSSL this could mean an attacker could force up to 21Mb to be allocated
2278    to service a connection. This could lead to a Denial of Service through
2279    memory exhaustion. However, the excessive message length check still takes
2280    place, and this would cause the connection to immediately fail. Assuming
2281    that the application calls SSL_free() on the failed connection in a timely
2282    manner then the 21Mb of allocated memory will then be immediately freed
2283    again. Therefore the excessive memory allocation will be transitory in
2284    nature. This then means that there is only a security impact if:
2285
2286    1) The application does not call SSL_free() in a timely manner in the event
2287    that the connection fails
2288    or
2289    2) The application is working in a constrained environment where there is
2290    very little free memory
2291    or
2292    3) The attacker initiates multiple connection attempts such that there are
2293    multiple connections in a state where memory has been allocated for the
2294    connection; SSL_free() has not yet been called; and there is insufficient
2295    memory to service the multiple requests.
2296
2297    Except in the instance of (1) above any Denial Of Service is likely to be
2298    transitory because as soon as the connection fails the memory is
2299    subsequently freed again in the SSL_free() call. However there is an
2300    increased risk during this period of application crashes due to the lack of
2301    memory - which would then mean a more serious Denial of Service.
2302
2303    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
2304    (CVE-2016-6307 and CVE-2016-6308)
2305
2306    *Matt Caswell*
2307
2308  * solaris-x86-cc, i.e. 32-bit configuration with vendor compiler,
2309    had to be removed. Primary reason is that vendor assembler can't
2310    assemble our modules with -KPIC flag. As result it, assembly
2311    support, was not even available as option. But its lack means
2312    lack of side-channel resistant code, which is incompatible with
2313    security by todays standards. Fortunately gcc is readily available
2314    prepackaged option, which we firmly point at...
2315
2316    *Andy Polyakov*
2317
2318 ### Changes between 1.0.2h and 1.1.0  [25 Aug 2016] ###
2319
2320  * Windows command-line tool supports UTF-8 opt-in option for arguments
2321    and console input. Setting OPENSSL_WIN32_UTF8 environment variable
2322    (to any value) allows Windows user to access PKCS#12 file generated
2323    with Windows CryptoAPI and protected with non-ASCII password, as well
2324    as files generated under UTF-8 locale on Linux also protected with
2325    non-ASCII password.
2326
2327    *Andy Polyakov*
2328
2329  * To mitigate the SWEET32 attack [CVE-2016-2183][], 3DES cipher suites
2330    have been disabled by default and removed from DEFAULT, just like RC4.
2331    See the RC4 item below to re-enable both.
2332
2333    *Rich Salz*
2334
2335  * The method for finding the storage location for the Windows RAND seed file
2336    has changed. First we check %RANDFILE%. If that is not set then we check
2337    the directories %HOME%, %USERPROFILE% and %SYSTEMROOT% in that order. If
2338    all else fails we fall back to C:\.
2339
2340    *Matt Caswell*
2341
2342  * The EVP_EncryptUpdate() function has had its return type changed from void
2343    to int. A return of 0 indicates and error while a return of 1 indicates
2344    success.
2345
2346    *Matt Caswell*
2347
2348  * The flags RSA_FLAG_NO_CONSTTIME, DSA_FLAG_NO_EXP_CONSTTIME and
2349    DH_FLAG_NO_EXP_CONSTTIME which previously provided the ability to switch
2350    off the constant time implementation for RSA, DSA and DH have been made
2351    no-ops and deprecated.
2352
2353    *Matt Caswell*
2354
2355  * Windows RAND implementation was simplified to only get entropy by
2356    calling CryptGenRandom(). Various other RAND-related tickets
2357    were also closed.
2358
2359    *Joseph Wylie Yandle, Rich Salz*
2360
2361  * The stack and lhash API's were renamed to start with OPENSSL_SK_
2362    and OPENSSL_LH_, respectively.  The old names are available
2363    with API compatibility.  They new names are now completely documented.
2364
2365    *Rich Salz*
2366
2367  * Unify TYPE_up_ref(obj) methods signature.
2368    SSL_CTX_up_ref(), SSL_up_ref(), X509_up_ref(), EVP_PKEY_up_ref(),
2369    X509_CRL_up_ref(), X509_OBJECT_up_ref_count() methods are now returning an
2370    int (instead of void) like all others TYPE_up_ref() methods.
2371    So now these methods also check the return value of CRYPTO_atomic_add(),
2372    and the validity of object reference counter.
2373
2374    *fdasilvayy@gmail.com*
2375
2376  * With Windows Visual Studio builds, the .pdb files are installed
2377    alongside the installed libraries and executables.  For a static
2378    library installation, ossl_static.pdb is the associate compiler
2379    generated .pdb file to be used when linking programs.
2380
2381    *Richard Levitte*
2382
2383  * Remove openssl.spec.  Packaging files belong with the packagers.
2384
2385    *Richard Levitte*
2386
2387  * Automatic Darwin/OSX configuration has had a refresh, it will now
2388    recognise x86_64 architectures automatically.  You can still decide
2389    to build for a different bitness with the environment variable
2390    KERNEL_BITS (can be 32 or 64), for example:
2391
2392            KERNEL_BITS=32 ./config
2393
2394    *Richard Levitte*
2395
2396  * Change default algorithms in pkcs8 utility to use PKCS#5 v2.0,
2397    256 bit AES and HMAC with SHA256.
2398
2399    *Steve Henson*
2400
2401  * Remove support for MIPS o32 ABI on IRIX (and IRIX only).
2402
2403    *Andy Polyakov*
2404
2405  * Triple-DES ciphers have been moved from HIGH to MEDIUM.
2406
2407    *Rich Salz*
2408
2409  * To enable users to have their own config files and build file templates,
2410    Configure looks in the directory indicated by the environment variable
2411    OPENSSL_LOCAL_CONFIG_DIR as well as the in-source Configurations/
2412    directory.  On VMS, OPENSSL_LOCAL_CONFIG_DIR is expected to be a logical
2413    name and is used as is.
2414
2415    *Richard Levitte*
2416
2417  * The following datatypes were made opaque: X509_OBJECT, X509_STORE_CTX,
2418    X509_STORE, X509_LOOKUP, and X509_LOOKUP_METHOD.  The unused type
2419    X509_CERT_FILE_CTX was removed.
2420
2421    *Rich Salz*
2422
2423  * "shared" builds are now the default. To create only static libraries use
2424    the "no-shared" Configure option.
2425
2426    *Matt Caswell*
2427
2428  * Remove the no-aes, no-hmac, no-rsa, no-sha and no-md5 Configure options.
2429    All of these option have not worked for some while and are fundamental
2430    algorithms.
2431
2432    *Matt Caswell*
2433
2434  * Make various cleanup routines no-ops and mark them as deprecated. Most
2435    global cleanup functions are no longer required because they are handled
2436    via auto-deinit (see OPENSSL_init_crypto and OPENSSL_init_ssl man pages).
2437    Explicitly de-initing can cause problems (e.g. where a library that uses
2438    OpenSSL de-inits, but an application is still using it). The affected
2439    functions are CONF_modules_free(), ENGINE_cleanup(), OBJ_cleanup(),
2440    EVP_cleanup(), BIO_sock_cleanup(), CRYPTO_cleanup_all_ex_data(),
2441    RAND_cleanup(), SSL_COMP_free_compression_methods(), ERR_free_strings() and
2442    COMP_zlib_cleanup().
2443
2444    *Matt Caswell*
2445
2446  * --strict-warnings no longer enables runtime debugging options
2447    such as REF_DEBUG. Instead, debug options are automatically
2448    enabled with '--debug' builds.
2449
2450    *Andy Polyakov, Emilia Käsper*
2451
2452  * Made DH and DH_METHOD opaque. The structures for managing DH objects
2453    have been moved out of the public header files. New functions for managing
2454    these have been added.
2455
2456    *Matt Caswell*
2457
2458  * Made RSA and RSA_METHOD opaque. The structures for managing RSA
2459    objects have been moved out of the public header files. New
2460    functions for managing these have been added.
2461
2462    *Richard Levitte*
2463
2464  * Made DSA and DSA_METHOD opaque. The structures for managing DSA objects
2465    have been moved out of the public header files. New functions for managing
2466    these have been added.
2467
2468    *Matt Caswell*
2469
2470  * Made BIO and BIO_METHOD opaque. The structures for managing BIOs have been
2471    moved out of the public header files. New functions for managing these
2472    have been added.
2473
2474    *Matt Caswell*
2475
2476  * Removed no-rijndael as a config option. Rijndael is an old name for AES.
2477
2478    *Matt Caswell*
2479
2480  * Removed the mk1mf build scripts.
2481
2482    *Richard Levitte*
2483
2484  * Headers are now wrapped, if necessary, with OPENSSL_NO_xxx, so
2485    it is always safe to #include a header now.
2486
2487    *Rich Salz*
2488
2489  * Removed the aged BC-32 config and all its supporting scripts
2490
2491    *Richard Levitte*
2492
2493  * Removed support for Ultrix, Netware, and OS/2.
2494
2495    *Rich Salz*
2496
2497  * Add support for HKDF.
2498
2499    *Alessandro Ghedini*
2500
2501  * Add support for blake2b and blake2s
2502
2503    *Bill Cox*
2504
2505  * Added support for "pipelining". Ciphers that have the
2506    EVP_CIPH_FLAG_PIPELINE flag set have a capability to process multiple
2507    encryptions/decryptions simultaneously. There are currently no built-in
2508    ciphers with this property but the expectation is that engines will be able
2509    to offer it to significantly improve throughput. Support has been extended
2510    into libssl so that multiple records for a single connection can be
2511    processed in one go (for >=TLS 1.1).
2512
2513    *Matt Caswell*
2514
2515  * Added the AFALG engine. This is an async capable engine which is able to
2516    offload work to the Linux kernel. In this initial version it only supports
2517    AES128-CBC. The kernel must be version 4.1.0 or greater.
2518
2519    *Catriona Lucey*
2520
2521  * OpenSSL now uses a new threading API. It is no longer necessary to
2522    set locking callbacks to use OpenSSL in a multi-threaded environment. There
2523    are two supported threading models: pthreads and windows threads. It is
2524    also possible to configure OpenSSL at compile time for "no-threads". The
2525    old threading API should no longer be used. The functions have been
2526    replaced with "no-op" compatibility macros.
2527
2528    *Alessandro Ghedini, Matt Caswell*
2529
2530  * Modify behavior of ALPN to invoke callback after SNI/servername
2531    callback, such that updates to the SSL_CTX affect ALPN.
2532
2533    *Todd Short*
2534
2535  * Add SSL_CIPHER queries for authentication and key-exchange.
2536
2537    *Todd Short*
2538
2539  * Changes to the DEFAULT cipherlist:
2540      - Prefer (EC)DHE handshakes over plain RSA.
2541      - Prefer AEAD ciphers over legacy ciphers.
2542      - Prefer ECDSA over RSA when both certificates are available.
2543      - Prefer TLSv1.2 ciphers/PRF.
2544      - Remove DSS, SEED, IDEA, CAMELLIA, and AES-CCM from the
2545        default cipherlist.
2546
2547    *Emilia Käsper*
2548
2549  * Change the ECC default curve list to be this, in order: x25519,
2550    secp256r1, secp521r1, secp384r1.
2551
2552    *Rich Salz*
2553
2554  * RC4 based libssl ciphersuites are now classed as "weak" ciphers and are
2555    disabled by default. They can be re-enabled using the
2556    enable-weak-ssl-ciphers option to Configure.
2557
2558    *Matt Caswell*
2559
2560  * If the server has ALPN configured, but supports no protocols that the
2561    client advertises, send a fatal "no_application_protocol" alert.
2562    This behaviour is SHALL in RFC 7301, though it isn't universally
2563    implemented by other servers.
2564
2565    *Emilia Käsper*
2566
2567  * Add X25519 support.
2568    Add ASN.1 and EVP_PKEY methods for X25519. This includes support
2569    for public and private key encoding using the format documented in
2570    draft-ietf-curdle-pkix-02. The corresponding EVP_PKEY method supports
2571    key generation and key derivation.
2572
2573    TLS support complies with draft-ietf-tls-rfc4492bis-08 and uses
2574    X25519(29).
2575
2576    *Steve Henson*
2577
2578  * Deprecate SRP_VBASE_get_by_user.
2579    SRP_VBASE_get_by_user had inconsistent memory management behaviour.
2580    In order to fix an unavoidable memory leak [CVE-2016-0798][],
2581    SRP_VBASE_get_by_user was changed to ignore the "fake user" SRP
2582    seed, even if the seed is configured.
2583
2584    Users should use SRP_VBASE_get1_by_user instead. Note that in
2585    SRP_VBASE_get1_by_user, caller must free the returned value. Note
2586    also that even though configuring the SRP seed attempts to hide
2587    invalid usernames by continuing the handshake with fake
2588    credentials, this behaviour is not constant time and no strong
2589    guarantees are made that the handshake is indistinguishable from
2590    that of a valid user.
2591
2592    *Emilia Käsper*
2593
2594  * Configuration change; it's now possible to build dynamic engines
2595    without having to build shared libraries and vice versa.  This
2596    only applies to the engines in engines/, those in crypto/engine/
2597    will always be built into libcrypto (i.e. "static").
2598
2599    Building dynamic engines is enabled by default; to disable, use
2600    the configuration option "disable-dynamic-engine".
2601
2602    The only requirements for building dynamic engines are the
2603    presence of the DSO module and building with position independent
2604    code, so they will also automatically be disabled if configuring
2605    with "disable-dso" or "disable-pic".
2606
2607    The macros OPENSSL_NO_STATIC_ENGINE and OPENSSL_NO_DYNAMIC_ENGINE
2608    are also taken away from openssl/opensslconf.h, as they are
2609    irrelevant.
2610
2611    *Richard Levitte*
2612
2613  * Configuration change; if there is a known flag to compile
2614    position independent code, it will always be applied on the
2615    libcrypto and libssl object files, and never on the application
2616    object files.  This means other libraries that use routines from
2617    libcrypto / libssl can be made into shared libraries regardless
2618    of how OpenSSL was configured.
2619
2620    If this isn't desirable, the configuration options "disable-pic"
2621    or "no-pic" can be used to disable the use of PIC.  This will
2622    also disable building shared libraries and dynamic engines.
2623
2624    *Richard Levitte*
2625
2626  * Removed JPAKE code.  It was experimental and has no wide use.
2627
2628    *Rich Salz*
2629
2630  * The INSTALL_PREFIX Makefile variable has been renamed to
2631    DESTDIR.  That makes for less confusion on what this variable
2632    is for.  Also, the configuration option --install_prefix is
2633    removed.
2634
2635    *Richard Levitte*
2636
2637  * Heartbeat for TLS has been removed and is disabled by default
2638    for DTLS; configure with enable-heartbeats.  Code that uses the
2639    old #define's might need to be updated.
2640
2641    *Emilia Käsper, Rich Salz*
2642
2643  * Rename REF_CHECK to REF_DEBUG.
2644
2645    *Rich Salz*
2646
2647  * New "unified" build system
2648
2649    The "unified" build system is aimed to be a common system for all
2650    platforms we support.  With it comes new support for VMS.
2651
2652    This system builds supports building in a different directory tree
2653    than the source tree.  It produces one Makefile (for unix family
2654    or lookalikes), or one descrip.mms (for VMS).
2655
2656    The source of information to make the Makefile / descrip.mms is
2657    small files called 'build.info', holding the necessary
2658    information for each directory with source to compile, and a
2659    template in Configurations, like unix-Makefile.tmpl or
2660    descrip.mms.tmpl.
2661
2662    With this change, the library names were also renamed on Windows
2663    and on VMS.  They now have names that are closer to the standard
2664    on Unix, and include the major version number, and in certain
2665    cases, the architecture they are built for.  See "Notes on shared
2666    libraries" in INSTALL.
2667
2668    We rely heavily on the perl module Text::Template.
2669
2670    *Richard Levitte*
2671
2672  * Added support for auto-initialisation and de-initialisation of the library.
2673    OpenSSL no longer requires explicit init or deinit routines to be called,
2674    except in certain circumstances. See the OPENSSL_init_crypto() and
2675    OPENSSL_init_ssl() man pages for further information.
2676
2677    *Matt Caswell*
2678
2679  * The arguments to the DTLSv1_listen function have changed. Specifically the
2680    "peer" argument is now expected to be a BIO_ADDR object.
2681
2682  * Rewrite of BIO networking library. The BIO library lacked consistent
2683    support of IPv6, and adding it required some more extensive
2684    modifications.  This introduces the BIO_ADDR and BIO_ADDRINFO types,
2685    which hold all types of addresses and chains of address information.
2686    It also introduces a new API, with functions like BIO_socket,
2687    BIO_connect, BIO_listen, BIO_lookup and a rewrite of BIO_accept.
2688    The source/sink BIOs BIO_s_connect, BIO_s_accept and BIO_s_datagram
2689    have been adapted accordingly.
2690
2691    *Richard Levitte*
2692
2693  * RSA_padding_check_PKCS1_type_1 now accepts inputs with and without
2694    the leading 0-byte.
2695
2696    *Emilia Käsper*
2697
2698  * CRIME protection: disable compression by default, even if OpenSSL is
2699    compiled with zlib enabled. Applications can still enable compression
2700    by calling SSL_CTX_clear_options(ctx, SSL_OP_NO_COMPRESSION), or by
2701    using the SSL_CONF library to configure compression.
2702
2703    *Emilia Käsper*
2704
2705  * The signature of the session callback configured with
2706    SSL_CTX_sess_set_get_cb was changed. The read-only input buffer
2707    was explicitly marked as 'const unsigned char*' instead of
2708    'unsigned char*'.
2709
2710    *Emilia Käsper*
2711
2712  * Always DPURIFY. Remove the use of uninitialized memory in the
2713    RNG, and other conditional uses of DPURIFY. This makes -DPURIFY a no-op.
2714
2715    *Emilia Käsper*
2716
2717  * Removed many obsolete configuration items, including
2718       DES_PTR, DES_RISC1, DES_RISC2, DES_INT
2719       MD2_CHAR, MD2_INT, MD2_LONG
2720       BF_PTR, BF_PTR2
2721       IDEA_SHORT, IDEA_LONG
2722       RC2_SHORT, RC2_LONG, RC4_LONG, RC4_CHUNK, RC4_INDEX
2723
2724    *Rich Salz, with advice from Andy Polyakov*
2725
2726  * Many BN internals have been moved to an internal header file.
2727
2728    *Rich Salz with help from Andy Polyakov*
2729
2730  * Configuration and writing out the results from it has changed.
2731    Files such as Makefile include/openssl/opensslconf.h and are now
2732    produced through general templates, such as Makefile.in and
2733    crypto/opensslconf.h.in and some help from the perl module
2734    Text::Template.
2735
2736    Also, the center of configuration information is no longer
2737    Makefile.  Instead, Configure produces a perl module in
2738    configdata.pm which holds most of the config data (in the hash
2739    table %config), the target data that comes from the target
2740    configuration in one of the Configurations/*.conf files (in
2741    %target).
2742
2743    *Richard Levitte*
2744
2745  * To clarify their intended purposes, the Configure options
2746    --prefix and --openssldir change their semantics, and become more
2747    straightforward and less interdependent.
2748
2749    --prefix shall be used exclusively to give the location INSTALLTOP
2750    where programs, scripts, libraries, include files and manuals are
2751    going to be installed.  The default is now /usr/local.
2752
2753    --openssldir shall be used exclusively to give the default
2754    location OPENSSLDIR where certificates, private keys, CRLs are
2755    managed.  This is also where the default openssl.cnf gets
2756    installed.
2757    If the directory given with this option is a relative path, the
2758    values of both the --prefix value and the --openssldir value will
2759    be combined to become OPENSSLDIR.
2760    The default for --openssldir is INSTALLTOP/ssl.
2761
2762    Anyone who uses --openssldir to specify where OpenSSL is to be
2763    installed MUST change to use --prefix instead.
2764
2765    *Richard Levitte*
2766
2767  * The GOST engine was out of date and therefore it has been removed. An up
2768    to date GOST engine is now being maintained in an external repository.
2769    See: https://wiki.openssl.org/index.php/Binaries. Libssl still retains
2770    support for GOST ciphersuites (these are only activated if a GOST engine
2771    is present).
2772
2773    *Matt Caswell*
2774
2775  * EGD is no longer supported by default; use enable-egd when
2776    configuring.
2777
2778    *Ben Kaduk and Rich Salz*
2779
2780  * The distribution now has Makefile.in files, which are used to
2781    create Makefile's when Configure is run.  *Configure must be run
2782    before trying to build now.*
2783
2784    *Rich Salz*
2785
2786  * The return value for SSL_CIPHER_description() for error conditions
2787    has changed.
2788
2789    *Rich Salz*
2790
2791  * Support for RFC6698/RFC7671 DANE TLSA peer authentication.
2792
2793    Obtaining and performing DNSSEC validation of TLSA records is
2794    the application's responsibility.  The application provides
2795    the TLSA records of its choice to OpenSSL, and these are then
2796    used to authenticate the peer.
2797
2798    The TLSA records need not even come from DNS.  They can, for
2799    example, be used to implement local end-entity certificate or
2800    trust-anchor "pinning", where the "pin" data takes the form
2801    of TLSA records, which can augment or replace verification
2802    based on the usual WebPKI public certification authorities.
2803
2804    *Viktor Dukhovni*
2805
2806  * Revert default OPENSSL_NO_DEPRECATED setting.  Instead OpenSSL
2807    continues to support deprecated interfaces in default builds.
2808    However, applications are strongly advised to compile their
2809    source files with -DOPENSSL_API_COMPAT=0x10100000L, which hides
2810    the declarations of all interfaces deprecated in 0.9.8, 1.0.0
2811    or the 1.1.0 releases.
2812
2813    In environments in which all applications have been ported to
2814    not use any deprecated interfaces OpenSSL's Configure script
2815    should be used with the --api=1.1.0 option to entirely remove
2816    support for the deprecated features from the library and
2817    unconditionally disable them in the installed headers.
2818    Essentially the same effect can be achieved with the "no-deprecated"
2819    argument to Configure, except that this will always restrict
2820    the build to just the latest API, rather than a fixed API
2821    version.
2822
2823    As applications are ported to future revisions of the API,
2824    they should update their compile-time OPENSSL_API_COMPAT define
2825    accordingly, but in most cases should be able to continue to
2826    compile with later releases.
2827
2828    The OPENSSL_API_COMPAT versions for 1.0.0, and 0.9.8 are
2829    0x10000000L and 0x00908000L, respectively.  However those
2830    versions did not support the OPENSSL_API_COMPAT feature, and
2831    so applications are not typically tested for explicit support
2832    of just the undeprecated features of either release.
2833
2834    *Viktor Dukhovni*
2835
2836  * Add support for setting the minimum and maximum supported protocol.
2837    It can bet set via the SSL_set_min_proto_version() and
2838    SSL_set_max_proto_version(), or via the SSL_CONF's MinProtocol and
2839    MaxProtocol.  It's recommended to use the new APIs to disable
2840    protocols instead of disabling individual protocols using
2841    SSL_set_options() or SSL_CONF's Protocol.  This change also
2842    removes support for disabling TLS 1.2 in the OpenSSL TLS
2843    client at compile time by defining OPENSSL_NO_TLS1_2_CLIENT.
2844
2845    *Kurt Roeckx*
2846
2847  * Support for ChaCha20 and Poly1305 added to libcrypto and libssl.
2848
2849    *Andy Polyakov*
2850
2851  * New EC_KEY_METHOD, this replaces the older ECDSA_METHOD and ECDH_METHOD
2852    and integrates ECDSA and ECDH functionality into EC. Implementations can
2853    now redirect key generation and no longer need to convert to or from
2854    ECDSA_SIG format.
2855
2856    Note: the ecdsa.h and ecdh.h headers are now no longer needed and just
2857    include the ec.h header file instead.
2858
2859    *Steve Henson*
2860
2861  * Remove support for all 40 and 56 bit ciphers.  This includes all the export
2862    ciphers who are no longer supported and drops support the ephemeral RSA key
2863    exchange. The LOW ciphers currently doesn't have any ciphers in it.
2864
2865    *Kurt Roeckx*
2866
2867  * Made EVP_MD_CTX, EVP_MD, EVP_CIPHER_CTX, EVP_CIPHER and HMAC_CTX
2868    opaque.  For HMAC_CTX, the following constructors and destructors
2869    were added:
2870
2871       HMAC_CTX *HMAC_CTX_new(void);
2872       void HMAC_CTX_free(HMAC_CTX *ctx);
2873
2874    For EVP_MD and EVP_CIPHER, complete APIs to create, fill and
2875    destroy such methods has been added.  See EVP_MD_meth_new(3) and
2876    EVP_CIPHER_meth_new(3) for documentation.
2877
2878    Additional changes:
2879    1) EVP_MD_CTX_cleanup(), EVP_CIPHER_CTX_cleanup() and
2880       HMAC_CTX_cleanup() were removed.  HMAC_CTX_reset() and
2881       EVP_MD_CTX_reset() should be called instead to reinitialise
2882       an already created structure.
2883    2) For consistency with the majority of our object creators and
2884       destructors, EVP_MD_CTX_(create|destroy) were renamed to
2885       EVP_MD_CTX_(new|free).  The old names are retained as macros
2886       for deprecated builds.
2887
2888    *Richard Levitte*
2889
2890  * Added ASYNC support. Libcrypto now includes the async sub-library to enable
2891    cryptographic operations to be performed asynchronously as long as an
2892    asynchronous capable engine is used. See the ASYNC_start_job() man page for
2893    further details. Libssl has also had this capability integrated with the
2894    introduction of the new mode SSL_MODE_ASYNC and associated error
2895    SSL_ERROR_WANT_ASYNC. See the SSL_CTX_set_mode() and SSL_get_error() man
2896    pages. This work was developed in partnership with Intel Corp.
2897
2898    *Matt Caswell*
2899
2900  * SSL_{CTX_}set_ecdh_auto() has been removed and ECDH is support is
2901    always enabled now.  If you want to disable the support you should
2902    exclude it using the list of supported ciphers. This also means that the
2903    "-no_ecdhe" option has been removed from s_server.
2904
2905    *Kurt Roeckx*
2906
2907  * SSL_{CTX}_set_tmp_ecdh() which can set 1 EC curve now internally calls
2908    SSL_{CTX_}set1_curves() which can set a list.
2909
2910    *Kurt Roeckx*
2911
2912  * Remove support for SSL_{CTX_}set_tmp_ecdh_callback().  You should set the
2913    curve you want to support using SSL_{CTX_}set1_curves().
2914
2915    *Kurt Roeckx*
2916
2917  * State machine rewrite. The state machine code has been significantly
2918    refactored in order to remove much duplication of code and solve issues
2919    with the old code (see ssl/statem/README for further details). This change
2920    does have some associated API changes. Notably the SSL_state() function
2921    has been removed and replaced by SSL_get_state which now returns an
2922    "OSSL_HANDSHAKE_STATE" instead of an int. SSL_set_state() has been removed
2923    altogether. The previous handshake states defined in ssl.h and ssl3.h have
2924    also been removed.
2925
2926    *Matt Caswell*
2927
2928  * All instances of the string "ssleay" in the public API were replaced
2929    with OpenSSL (case-matching; e.g., OPENSSL_VERSION for #define's)
2930    Some error codes related to internal RSA_eay API's were renamed.
2931
2932    *Rich Salz*
2933
2934  * The demo files in crypto/threads were moved to demo/threads.
2935
2936    *Rich Salz*
2937
2938  * Removed obsolete engines: 4758cca, aep, atalla, cswift, nuron, gmp,
2939    sureware and ubsec.
2940
2941    *Matt Caswell, Rich Salz*
2942
2943  * New ASN.1 embed macro.
2944
2945    New ASN.1 macro ASN1_EMBED. This is the same as ASN1_SIMPLE except the
2946    structure is not allocated: it is part of the parent. That is instead of
2947
2948            FOO *x;
2949
2950    it must be:
2951
2952            FOO x;
2953
2954    This reduces memory fragmentation and make it impossible to accidentally
2955    set a mandatory field to NULL.
2956
2957    This currently only works for some fields specifically a SEQUENCE, CHOICE,
2958    or ASN1_STRING type which is part of a parent SEQUENCE. Since it is
2959    equivalent to ASN1_SIMPLE it cannot be tagged, OPTIONAL, SET OF or
2960    SEQUENCE OF.
2961
2962    *Steve Henson*
2963
2964  * Remove EVP_CHECK_DES_KEY, a compile-time option that never compiled.
2965
2966    *Emilia Käsper*
2967
2968  * Removed DES and RC4 ciphersuites from DEFAULT. Also removed RC2 although
2969    in 1.0.2 EXPORT was already removed and the only RC2 ciphersuite is also
2970    an EXPORT one. COMPLEMENTOFDEFAULT has been updated accordingly to add
2971    DES and RC4 ciphersuites.
2972
2973    *Matt Caswell*
2974
2975  * Rewrite EVP_DecodeUpdate (base64 decoding) to fix several bugs.
2976    This changes the decoding behaviour for some invalid messages,
2977    though the change is mostly in the more lenient direction, and
2978    legacy behaviour is preserved as much as possible.
2979
2980    *Emilia Käsper*
2981
2982  * Fix no-stdio build.
2983    * David Woodhouse <David.Woodhouse@intel.com> and also
2984     Ivan Nestlerode <ivan.nestlerode@sonos.com> *
2985
2986  * New testing framework
2987    The testing framework has been largely rewritten and is now using
2988    perl and the perl modules Test::Harness and an extended variant of
2989    Test::More called OpenSSL::Test to do its work.  All test scripts in
2990    test/ have been rewritten into test recipes, and all direct calls to
2991    executables in test/Makefile have become individual recipes using the
2992    simplified testing OpenSSL::Test::Simple.
2993
2994    For documentation on our testing modules, do:
2995
2996            perldoc test/testlib/OpenSSL/Test/Simple.pm
2997            perldoc test/testlib/OpenSSL/Test.pm
2998
2999    *Richard Levitte*
3000
3001  * Revamped memory debug; only -DCRYPTO_MDEBUG and -DCRYPTO_MDEBUG_ABORT
3002    are used; the latter aborts on memory leaks (usually checked on exit).
3003    Some undocumented "set malloc, etc., hooks" functions were removed
3004    and others were changed.  All are now documented.
3005
3006    *Rich Salz*
3007
3008  * In DSA_generate_parameters_ex, if the provided seed is too short,
3009    return an error
3010
3011    *Rich Salz and Ismo Puustinen <ismo.puustinen@intel.com>*
3012
3013  * Rewrite PSK to support ECDHE_PSK, DHE_PSK and RSA_PSK. Add ciphersuites
3014    from RFC4279, RFC4785, RFC5487, RFC5489.
3015
3016    Thanks to Christian J. Dietrich and Giuseppe D'Angelo for the
3017    original RSA_PSK patch.
3018
3019    *Steve Henson*
3020
3021  * Dropped support for the SSL3_FLAGS_DELAY_CLIENT_FINISHED flag. This SSLeay
3022    era flag was never set throughout the codebase (only read). Also removed
3023    SSL3_FLAGS_POP_BUFFER which was only used if
3024    SSL3_FLAGS_DELAY_CLIENT_FINISHED was also set.
3025
3026    *Matt Caswell*
3027
3028  * Changed the default name options in the "ca", "crl", "req" and "x509"
3029    to be "oneline" instead of "compat".
3030
3031    *Richard Levitte*
3032
3033  * Remove SSL_OP_TLS_BLOCK_PADDING_BUG. This is SSLeay legacy, we're
3034    not aware of clients that still exhibit this bug, and the workaround
3035    hasn't been working properly for a while.
3036
3037    *Emilia Käsper*
3038
3039  * The return type of BIO_number_read() and BIO_number_written() as well as
3040    the corresponding num_read and num_write members in the BIO structure has
3041    changed from unsigned long to uint64_t. On platforms where an unsigned
3042    long is 32 bits (e.g. Windows) these counters could overflow if >4Gb is
3043    transferred.
3044
3045    *Matt Caswell*
3046
3047  * Given the pervasive nature of TLS extensions it is inadvisable to run
3048    OpenSSL without support for them. It also means that maintaining
3049    the OPENSSL_NO_TLSEXT option within the code is very invasive (and probably
3050    not well tested). Therefore the OPENSSL_NO_TLSEXT option has been removed.
3051
3052    *Matt Caswell*
3053
3054  * Removed support for the two export grade static DH ciphersuites
3055    EXP-DH-RSA-DES-CBC-SHA and EXP-DH-DSS-DES-CBC-SHA. These two ciphersuites
3056    were newly added (along with a number of other static DH ciphersuites) to
3057    1.0.2. However the two export ones have *never* worked since they were
3058    introduced. It seems strange in any case to be adding new export
3059    ciphersuites, and given "logjam" it also does not seem correct to fix them.
3060
3061    *Matt Caswell*
3062
3063  * Version negotiation has been rewritten. In particular SSLv23_method(),
3064    SSLv23_client_method() and SSLv23_server_method() have been deprecated,
3065    and turned into macros which simply call the new preferred function names
3066    TLS_method(), TLS_client_method() and TLS_server_method(). All new code
3067    should use the new names instead. Also as part of this change the ssl23.h
3068    header file has been removed.
3069
3070    *Matt Caswell*
3071
3072  * Support for Kerberos ciphersuites in TLS (RFC2712) has been removed. This
3073    code and the associated standard is no longer considered fit-for-purpose.
3074
3075    *Matt Caswell*
3076
3077  * RT2547 was closed.  When generating a private key, try to make the
3078    output file readable only by the owner.  This behavior change might
3079    be noticeable when interacting with other software.
3080
3081  * Documented all exdata functions.  Added CRYPTO_free_ex_index.
3082    Added a test.
3083
3084    *Rich Salz*
3085
3086  * Added HTTP GET support to the ocsp command.
3087
3088    *Rich Salz*
3089
3090  * Changed default digest for the dgst and enc commands from MD5 to
3091    sha256
3092
3093    *Rich Salz*
3094
3095  * RAND_pseudo_bytes has been deprecated. Users should use RAND_bytes instead.
3096
3097    *Matt Caswell*
3098
3099  * Added support for TLS extended master secret from
3100    draft-ietf-tls-session-hash-03.txt. Thanks for Alfredo Pironti for an
3101    initial patch which was a great help during development.
3102
3103    *Steve Henson*
3104
3105  * All libssl internal structures have been removed from the public header
3106    files, and the OPENSSL_NO_SSL_INTERN option has been removed (since it is
3107    now redundant). Users should not attempt to access internal structures
3108    directly. Instead they should use the provided API functions.
3109
3110    *Matt Caswell*
3111
3112  * config has been changed so that by default OPENSSL_NO_DEPRECATED is used.
3113    Access to deprecated functions can be re-enabled by running config with
3114    "enable-deprecated". In addition applications wishing to use deprecated
3115    functions must define OPENSSL_USE_DEPRECATED. Note that this new behaviour
3116    will, by default, disable some transitive includes that previously existed
3117    in the header files (e.g. ec.h will no longer, by default, include bn.h)
3118
3119    *Matt Caswell*
3120
3121  * Added support for OCB mode. OpenSSL has been granted a patent license
3122    compatible with the OpenSSL license for use of OCB. Details are available
3123    at https://www.openssl.org/source/OCB-patent-grant-OpenSSL.pdf. Support
3124    for OCB can be removed by calling config with no-ocb.
3125
3126    *Matt Caswell*
3127
3128  * SSLv2 support has been removed.  It still supports receiving a SSLv2
3129    compatible client hello.
3130
3131    *Kurt Roeckx*
3132
3133  * Increased the minimal RSA keysize from 256 to 512 bits [Rich Salz],
3134    done while fixing the error code for the key-too-small case.
3135
3136    *Annie Yousar <a.yousar@informatik.hu-berlin.de>*
3137
3138  * CA.sh has been removed; use CA.pl instead.
3139
3140    *Rich Salz*
3141
3142  * Removed old DES API.
3143
3144    *Rich Salz*
3145
3146  * Remove various unsupported platforms:
3147       Sony NEWS4
3148       BEOS and BEOS_R5
3149       NeXT
3150       SUNOS
3151       MPE/iX
3152       Sinix/ReliantUNIX RM400
3153       DGUX
3154       NCR
3155       Tandem
3156       Cray
3157       16-bit platforms such as WIN16
3158
3159    *Rich Salz*
3160
3161  * Clean up OPENSSL_NO_xxx #define's
3162     - Use setbuf() and remove OPENSSL_NO_SETVBUF_IONBF
3163     - Rename OPENSSL_SYSNAME_xxx to OPENSSL_SYS_xxx
3164     - OPENSSL_NO_EC{DH,DSA} merged into OPENSSL_NO_EC
3165     - OPENSSL_NO_RIPEMD160, OPENSSL_NO_RIPEMD merged into OPENSSL_NO_RMD160
3166     - OPENSSL_NO_FP_API merged into OPENSSL_NO_STDIO
3167     - Remove OPENSSL_NO_BIO OPENSSL_NO_BUFFER OPENSSL_NO_CHAIN_VERIFY
3168       OPENSSL_NO_EVP OPENSSL_NO_FIPS_ERR OPENSSL_NO_HASH_COMP
3169       OPENSSL_NO_LHASH OPENSSL_NO_OBJECT OPENSSL_NO_SPEED OPENSSL_NO_STACK
3170       OPENSSL_NO_X509 OPENSSL_NO_X509_VERIFY
3171     - Remove MS_STATIC; it's a relic from platforms <32 bits.
3172
3173    *Rich Salz*
3174
3175  * Cleaned up dead code
3176      Remove all but one '#ifdef undef' which is to be looked at.
3177
3178    *Rich Salz*
3179
3180  * Clean up calling of xxx_free routines.
3181       Just like free(), fix most of the xxx_free routines to accept
3182       NULL.  Remove the non-null checks from callers.  Save much code.
3183
3184    *Rich Salz*
3185
3186  * Add secure heap for storage of private keys (when possible).
3187    Add BIO_s_secmem(), CBIGNUM, etc.
3188    Contributed by Akamai Technologies under our Corporate CLA.
3189
3190    *Rich Salz*
3191
3192  * Experimental support for a new, fast, unbiased prime candidate generator,
3193    bn_probable_prime_dh_coprime(). Not currently used by any prime generator.
3194
3195    *Felix Laurie von Massenbach <felix@erbridge.co.uk>*
3196
3197  * New output format NSS in the sess_id command line tool. This allows
3198    exporting the session id and the master key in NSS keylog format.
3199
3200    *Martin Kaiser <martin@kaiser.cx>*
3201
3202  * Harmonize version and its documentation. -f flag is used to display
3203    compilation flags.
3204
3205    *mancha <mancha1@zoho.com>*
3206
3207  * Fix eckey_priv_encode so it immediately returns an error upon a failure
3208    in i2d_ECPrivateKey.  Thanks to Ted Unangst for feedback on this issue.
3209
3210    *mancha <mancha1@zoho.com>*
3211
3212  * Fix some double frees. These are not thought to be exploitable.
3213
3214    *mancha <mancha1@zoho.com>*
3215
3216  * A missing bounds check in the handling of the TLS heartbeat extension
3217    can be used to reveal up to 64k of memory to a connected client or
3218    server.
3219
3220    Thanks for Neel Mehta of Google Security for discovering this bug and to
3221    Adam Langley <agl@chromium.org> and Bodo Moeller <bmoeller@acm.org> for
3222    preparing the fix [CVE-2014-0160][]
3223
3224    *Adam Langley, Bodo Moeller*
3225
3226  * Fix for the attack described in the paper "Recovering OpenSSL
3227    ECDSA Nonces Using the FLUSH+RELOAD Cache Side-channel Attack"
3228    by Yuval Yarom and Naomi Benger. Details can be obtained from:
3229    http://eprint.iacr.org/2014/140
3230
3231    Thanks to Yuval Yarom and Naomi Benger for discovering this
3232    flaw and to Yuval Yarom for supplying a fix [CVE-2014-0076][]
3233
3234    *Yuval Yarom and Naomi Benger*
3235
3236  * Use algorithm specific chains in SSL_CTX_use_certificate_chain_file():
3237    this fixes a limitation in previous versions of OpenSSL.
3238
3239    *Steve Henson*
3240
3241  * Experimental encrypt-then-mac support.
3242
3243    Experimental support for encrypt then mac from
3244    draft-gutmann-tls-encrypt-then-mac-02.txt
3245
3246    To enable it set the appropriate extension number (0x42 for the test
3247    server) using e.g. -DTLSEXT_TYPE_encrypt_then_mac=0x42
3248
3249    For non-compliant peers (i.e. just about everything) this should have no
3250    effect.
3251
3252    WARNING: EXPERIMENTAL, SUBJECT TO CHANGE.
3253
3254
3255    *Steve Henson*
3256
3257  * Add EVP support for key wrapping algorithms, to avoid problems with
3258    existing code the flag EVP_CIPHER_CTX_WRAP_ALLOW has to be set in
3259    the EVP_CIPHER_CTX or an error is returned. Add AES and DES3 wrap
3260    algorithms and include tests cases.
3261
3262    *Steve Henson*
3263
3264  * Extend CMS code to support RSA-PSS signatures and RSA-OAEP for
3265    enveloped data.
3266
3267    *Steve Henson*
3268
3269  * Extended RSA OAEP support via EVP_PKEY API. Options to specify digest,
3270    MGF1 digest and OAEP label.
3271
3272    *Steve Henson*
3273
3274  * Make openssl verify return errors.
3275
3276    *Chris Palmer <palmer@google.com> and Ben Laurie*
3277
3278  * New function ASN1_TIME_diff to calculate the difference between two
3279    ASN1_TIME structures or one structure and the current time.
3280
3281    *Steve Henson*
3282
3283  * Update fips_test_suite to support multiple command line options. New
3284    test to induce all self test errors in sequence and check expected
3285    failures.
3286
3287    *Steve Henson*
3288
3289  * Add FIPS_{rsa,dsa,ecdsa}_{sign,verify} functions which digest and
3290    sign or verify all in one operation.
3291
3292    *Steve Henson*
3293
3294  * Add fips_algvs: a multicall fips utility incorporating all the algorithm
3295    test programs and fips_test_suite. Includes functionality to parse
3296    the minimal script output of fipsalgest.pl directly.
3297
3298    *Steve Henson*
3299
3300  * Add authorisation parameter to FIPS_module_mode_set().
3301
3302    *Steve Henson*
3303
3304  * Add FIPS selftest for ECDH algorithm using P-224 and B-233 curves.
3305
3306    *Steve Henson*
3307
3308  * Use separate DRBG fields for internal and external flags. New function
3309    FIPS_drbg_health_check() to perform on demand health checking. Add
3310    generation tests to fips_test_suite with reduced health check interval to
3311    demonstrate periodic health checking. Add "nodh" option to
3312    fips_test_suite to skip very slow DH test.
3313
3314    *Steve Henson*
3315
3316  * New function FIPS_get_cipherbynid() to lookup FIPS supported ciphers
3317    based on NID.
3318
3319    *Steve Henson*
3320
3321  * More extensive health check for DRBG checking many more failure modes.
3322    New function FIPS_selftest_drbg_all() to handle every possible DRBG
3323    combination: call this in fips_test_suite.
3324
3325    *Steve Henson*
3326
3327  * Add support for canonical generation of DSA parameter 'g'. See
3328    FIPS 186-3 A.2.3.
3329
3330  * Add support for HMAC DRBG from SP800-90. Update DRBG algorithm test and
3331    POST to handle HMAC cases.
3332
3333    *Steve Henson*
3334
3335  * Add functions FIPS_module_version() and FIPS_module_version_text()
3336    to return numerical and string versions of the FIPS module number.
3337
3338    *Steve Henson*
3339
3340  * Rename FIPS_mode_set and FIPS_mode to FIPS_module_mode_set and
3341    FIPS_module_mode. FIPS_mode and FIPS_mode_set will be implemented
3342    outside the validated module in the FIPS capable OpenSSL.
3343
3344    *Steve Henson*
3345
3346  * Minor change to DRBG entropy callback semantics. In some cases
3347    there is no multiple of the block length between min_len and
3348    max_len. Allow the callback to return more than max_len bytes
3349    of entropy but discard any extra: it is the callback's responsibility
3350    to ensure that the extra data discarded does not impact the
3351    requested amount of entropy.
3352
3353    *Steve Henson*
3354
3355  * Add PRNG security strength checks to RSA, DSA and ECDSA using
3356    information in FIPS186-3, SP800-57 and SP800-131A.
3357
3358    *Steve Henson*
3359
3360  * CCM support via EVP. Interface is very similar to GCM case except we
3361    must supply all data in one chunk (i.e. no update, final) and the
3362    message length must be supplied if AAD is used. Add algorithm test
3363    support.
3364
3365    *Steve Henson*
3366
3367  * Initial version of POST overhaul. Add POST callback to allow the status
3368    of POST to be monitored and/or failures induced. Modify fips_test_suite
3369    to use callback. Always run all selftests even if one fails.
3370
3371    *Steve Henson*
3372
3373  * XTS support including algorithm test driver in the fips_gcmtest program.
3374    Note: this does increase the maximum key length from 32 to 64 bytes but
3375    there should be no binary compatibility issues as existing applications
3376    will never use XTS mode.
3377
3378    *Steve Henson*
3379
3380  * Extensive reorganisation of FIPS PRNG behaviour. Remove all dependencies
3381    to OpenSSL RAND code and replace with a tiny FIPS RAND API which also
3382    performs algorithm blocking for unapproved PRNG types. Also do not
3383    set PRNG type in FIPS_mode_set(): leave this to the application.
3384    Add default OpenSSL DRBG handling: sets up FIPS PRNG and seeds with
3385    the standard OpenSSL PRNG: set additional data to a date time vector.
3386
3387    *Steve Henson*
3388
3389  * Rename old X9.31 PRNG functions of the form FIPS_rand* to FIPS_x931*.
3390    This shouldn't present any incompatibility problems because applications
3391    shouldn't be using these directly and any that are will need to rethink
3392    anyway as the X9.31 PRNG is now deprecated by FIPS 140-2
3393
3394    *Steve Henson*
3395
3396  * Extensive self tests and health checking required by SP800-90 DRBG.
3397    Remove strength parameter from FIPS_drbg_instantiate and always
3398    instantiate at maximum supported strength.
3399
3400    *Steve Henson*
3401
3402  * Add ECDH code to fips module and fips_ecdhvs for primitives only testing.
3403
3404    *Steve Henson*
3405
3406  * New algorithm test program fips_dhvs to handle DH primitives only testing.
3407
3408    *Steve Henson*
3409
3410  * New function DH_compute_key_padded() to compute a DH key and pad with
3411    leading zeroes if needed: this complies with SP800-56A et al.
3412
3413    *Steve Henson*
3414
3415  * Initial implementation of SP800-90 DRBGs for Hash and CTR. Not used by
3416    anything, incomplete, subject to change and largely untested at present.
3417
3418    *Steve Henson*
3419
3420  * Modify fipscanisteronly build option to only build the necessary object
3421    files by filtering FIPS_EX_OBJ through a perl script in crypto/Makefile.
3422
3423    *Steve Henson*
3424
3425  * Add experimental option FIPSSYMS to give all symbols in
3426    fipscanister.o and FIPS or fips prefix. This will avoid
3427    conflicts with future versions of OpenSSL. Add perl script
3428    util/fipsas.pl to preprocess assembly language source files
3429    and rename any affected symbols.
3430
3431    *Steve Henson*
3432
3433  * Add selftest checks and algorithm block of non-fips algorithms in
3434    FIPS mode. Remove DES2 from selftests.
3435
3436    *Steve Henson*
3437
3438  * Add ECDSA code to fips module. Add tiny fips_ecdsa_check to just
3439    return internal method without any ENGINE dependencies. Add new
3440    tiny fips sign and verify functions.
3441
3442    *Steve Henson*
3443
3444  * New build option no-ec2m to disable characteristic 2 code.
3445
3446    *Steve Henson*
3447
3448  * New build option "fipscanisteronly". This only builds fipscanister.o
3449    and (currently) associated fips utilities. Uses the file Makefile.fips
3450    instead of Makefile.org as the prototype.
3451
3452    *Steve Henson*
3453
3454  * Add some FIPS mode restrictions to GCM. Add internal IV generator.
3455    Update fips_gcmtest to use IV generator.
3456
3457    *Steve Henson*
3458
3459  * Initial, experimental EVP support for AES-GCM. AAD can be input by
3460    setting output buffer to NULL. The *Final function must be
3461    called although it will not retrieve any additional data. The tag
3462    can be set or retrieved with a ctrl. The IV length is by default 12
3463    bytes (96 bits) but can be set to an alternative value. If the IV
3464    length exceeds the maximum IV length (currently 16 bytes) it cannot be
3465    set before the key.
3466
3467    *Steve Henson*
3468
3469  * New flag in ciphers: EVP_CIPH_FLAG_CUSTOM_CIPHER. This means the
3470    underlying do_cipher function handles all cipher semantics itself
3471    including padding and finalisation. This is useful if (for example)
3472    an ENGINE cipher handles block padding itself. The behaviour of
3473    do_cipher is subtly changed if this flag is set: the return value
3474    is the number of characters written to the output buffer (zero is
3475    no longer an error code) or a negative error code. Also if the
3476    input buffer is NULL and length 0 finalisation should be performed.
3477
3478    *Steve Henson*
3479
3480  * If a candidate issuer certificate is already part of the constructed
3481    path ignore it: new debug notification X509_V_ERR_PATH_LOOP for this case.
3482
3483    *Steve Henson*
3484
3485  * Improve forward-security support: add functions
3486
3487            void SSL_CTX_set_not_resumable_session_callback(
3488                     SSL_CTX *ctx, int (*cb)(SSL *ssl, int is_forward_secure))
3489            void SSL_set_not_resumable_session_callback(
3490                     SSL *ssl, int (*cb)(SSL *ssl, int is_forward_secure))
3491
3492    for use by SSL/TLS servers; the callback function will be called whenever a
3493    new session is created, and gets to decide whether the session may be
3494    cached to make it resumable (return 0) or not (return 1).  (As by the
3495    SSL/TLS protocol specifications, the session_id sent by the server will be
3496    empty to indicate that the session is not resumable; also, the server will
3497    not generate RFC 4507 (RFC 5077) session tickets.)
3498
3499    A simple reasonable callback implementation is to return is_forward_secure.
3500    This parameter will be set to 1 or 0 depending on the ciphersuite selected
3501    by the SSL/TLS server library, indicating whether it can provide forward
3502    security.
3503
3504    *Emilia Käsper <emilia.kasper@esat.kuleuven.be> (Google)*
3505
3506  * New -verify_name option in command line utilities to set verification
3507    parameters by name.
3508
3509    *Steve Henson*
3510
3511  * Initial CMAC implementation. WARNING: EXPERIMENTAL, API MAY CHANGE.
3512    Add CMAC pkey methods.
3513
3514    *Steve Henson*
3515
3516  * Experimental renegotiation in s_server -www mode. If the client
3517    browses /reneg connection is renegotiated. If /renegcert it is
3518    renegotiated requesting a certificate.
3519
3520    *Steve Henson*
3521
3522  * Add an "external" session cache for debugging purposes to s_server. This
3523    should help trace issues which normally are only apparent in deployed
3524    multi-process servers.
3525
3526    *Steve Henson*
3527
3528  * Extensive audit of libcrypto with DEBUG_UNUSED. Fix many cases where
3529    return value is ignored. NB. The functions RAND_add(), RAND_seed(),
3530    BIO_set_cipher() and some obscure PEM functions were changed so they
3531    can now return an error. The RAND changes required a change to the
3532    RAND_METHOD structure.
3533
3534    *Steve Henson*
3535
3536  * New macro `__owur` for "OpenSSL Warn Unused Result". This makes use of
3537    a gcc attribute to warn if the result of a function is ignored. This
3538    is enable if DEBUG_UNUSED is set. Add to several functions in evp.h
3539    whose return value is often ignored.
3540
3541    *Steve Henson*
3542
3543  * New -noct, -requestct, -requirect and -ctlogfile options for s_client.
3544    These allow SCTs (signed certificate timestamps) to be requested and
3545    validated when establishing a connection.
3546
3547    *Rob Percival <robpercival@google.com>*
3548
3549 OpenSSL 1.0.2
3550 -------------
3551
3552 ### Changes between 1.0.2s and 1.0.2t [10 Sep 2019] ###
3553
3554  * For built-in EC curves, ensure an EC_GROUP built from the curve name is
3555    used even when parsing explicit parameters, when loading a serialized key
3556    or calling `EC_GROUP_new_from_ecpkparameters()`/
3557    `EC_GROUP_new_from_ecparameters()`.
3558    This prevents bypass of security hardening and performance gains,
3559    especially for curves with specialized EC_METHODs.
3560    By default, if a key encoded with explicit parameters is loaded and later
3561    serialized, the output is still encoded with explicit parameters, even if
3562    internally a "named" EC_GROUP is used for computation.
3563
3564    *Nicola Tuveri*
3565
3566  * Compute ECC cofactors if not provided during EC_GROUP construction. Before
3567    this change, EC_GROUP_set_generator would accept order and/or cofactor as
3568    NULL. After this change, only the cofactor parameter can be NULL. It also
3569    does some minimal sanity checks on the passed order.
3570    [CVE-2019-1547][]
3571
3572    *Billy Bob Brumley*
3573
3574  * Fixed a padding oracle in PKCS7_dataDecode and CMS_decrypt_set1_pkey.
3575    An attack is simple, if the first CMS_recipientInfo is valid but the
3576    second CMS_recipientInfo is chosen ciphertext. If the second
3577    recipientInfo decodes to PKCS #1 v1.5 form plaintext, the correct
3578    encryption key will be replaced by garbage, and the message cannot be
3579    decoded, but if the RSA decryption fails, the correct encryption key is
3580    used and the recipient will not notice the attack.
3581    As a work around for this potential attack the length of the decrypted
3582    key must be equal to the cipher default key length, in case the
3583    certifiate is not given and all recipientInfo are tried out.
3584    The old behaviour can be re-enabled in the CMS code by setting the
3585    CMS_DEBUG_DECRYPT flag.
3586    [CVE-2019-1563][]
3587
3588    *Bernd Edlinger*
3589
3590  * Document issue with installation paths in diverse Windows builds
3591
3592    '/usr/local/ssl' is an unsafe prefix for location to install OpenSSL
3593    binaries and run-time config file.
3594    [CVE-2019-1552][]
3595
3596    *Richard Levitte*
3597
3598 ### Changes between 1.0.2r and 1.0.2s [28 May 2019] ###
3599
3600  * Change the default RSA, DSA and DH size to 2048 bit instead of 1024.
3601    This changes the size when using the genpkey app when no size is given. It
3602    fixes an omission in earlier changes that changed all RSA, DSA and DH
3603    generation apps to use 2048 bits by default.
3604
3605    *Kurt Roeckx*
3606
3607  * Add FIPS support for Android Arm 64-bit
3608
3609    Support for Android Arm 64-bit was added to the OpenSSL FIPS Object
3610    Module in Version 2.0.10. For some reason, the corresponding target
3611    'android64-aarch64' was missing OpenSSL 1.0.2, whence it could not be
3612    built with FIPS support on Android Arm 64-bit. This omission has been
3613    fixed.
3614
3615    *Matthias St. Pierre*
3616
3617 ### Changes between 1.0.2q and 1.0.2r [26 Feb 2019] ###
3618
3619  * 0-byte record padding oracle
3620
3621    If an application encounters a fatal protocol error and then calls
3622    SSL_shutdown() twice (once to send a close_notify, and once to receive one)
3623    then OpenSSL can respond differently to the calling application if a 0 byte
3624    record is received with invalid padding compared to if a 0 byte record is
3625    received with an invalid MAC. If the application then behaves differently
3626    based on that in a way that is detectable to the remote peer, then this
3627    amounts to a padding oracle that could be used to decrypt data.
3628
3629    In order for this to be exploitable "non-stitched" ciphersuites must be in
3630    use. Stitched ciphersuites are optimised implementations of certain
3631    commonly used ciphersuites. Also the application must call SSL_shutdown()
3632    twice even if a protocol error has occurred (applications should not do
3633    this but some do anyway).
3634
3635    This issue was discovered by Juraj Somorovsky, Robert Merget and Nimrod
3636    Aviram, with additional investigation by Steven Collison and Andrew
3637    Hourselt. It was reported to OpenSSL on 10th December 2018.
3638    [CVE-2019-1559][]
3639
3640    *Matt Caswell*
3641
3642  * Move strictness check from EVP_PKEY_asn1_new() to EVP_PKEY_asn1_add0().
3643
3644    *Richard Levitte*
3645
3646 ### Changes between 1.0.2p and 1.0.2q [20 Nov 2018] ###
3647
3648  * Microarchitecture timing vulnerability in ECC scalar multiplication
3649
3650    OpenSSL ECC scalar multiplication, used in e.g. ECDSA and ECDH, has been
3651    shown to be vulnerable to a microarchitecture timing side channel attack.
3652    An attacker with sufficient access to mount local timing attacks during
3653    ECDSA signature generation could recover the private key.
3654
3655    This issue was reported to OpenSSL on 26th October 2018 by Alejandro
3656    Cabrera Aldaya, Billy Brumley, Sohaib ul Hassan, Cesar Pereida Garcia and
3657    Nicola Tuveri.
3658    [CVE-2018-5407][]
3659
3660    *Billy Brumley*
3661
3662  * Timing vulnerability in DSA signature generation
3663
3664    The OpenSSL DSA signature algorithm has been shown to be vulnerable to a
3665    timing side channel attack. An attacker could use variations in the signing
3666    algorithm to recover the private key.
3667
3668    This issue was reported to OpenSSL on 16th October 2018 by Samuel Weiser.
3669    [CVE-2018-0734][]
3670
3671    *Paul Dale*
3672
3673  * Resolve a compatibility issue in EC_GROUP handling with the FIPS Object
3674    Module, accidentally introduced while backporting security fixes from the
3675    development branch and hindering the use of ECC in FIPS mode.
3676
3677    *Nicola Tuveri*
3678
3679 ### Changes between 1.0.2o and 1.0.2p [14 Aug 2018] ###
3680
3681  * Client DoS due to large DH parameter
3682
3683    During key agreement in a TLS handshake using a DH(E) based ciphersuite a
3684    malicious server can send a very large prime value to the client. This will
3685    cause the client to spend an unreasonably long period of time generating a
3686    key for this prime resulting in a hang until the client has finished. This
3687    could be exploited in a Denial Of Service attack.
3688
3689    This issue was reported to OpenSSL on 5th June 2018 by Guido Vranken
3690    [CVE-2018-0732][]
3691
3692    *Guido Vranken*
3693
3694  * Cache timing vulnerability in RSA Key Generation
3695
3696    The OpenSSL RSA Key generation algorithm has been shown to be vulnerable to
3697    a cache timing side channel attack. An attacker with sufficient access to
3698    mount cache timing attacks during the RSA key generation process could
3699    recover the private key.
3700
3701    This issue was reported to OpenSSL on 4th April 2018 by Alejandro Cabrera
3702    Aldaya, Billy Brumley, Cesar Pereida Garcia and Luis Manuel Alvarez Tapia.
3703    [CVE-2018-0737][]
3704
3705    *Billy Brumley*
3706
3707  * Make EVP_PKEY_asn1_new() a bit stricter about its input.  A NULL pem_str
3708    parameter is no longer accepted, as it leads to a corrupt table.  NULL
3709    pem_str is reserved for alias entries only.
3710
3711    *Richard Levitte*
3712
3713  * Revert blinding in ECDSA sign and instead make problematic addition
3714    length-invariant. Switch even to fixed-length Montgomery multiplication.
3715
3716    *Andy Polyakov*
3717
3718  * Change generating and checking of primes so that the error rate of not
3719    being prime depends on the intended use based on the size of the input.
3720    For larger primes this will result in more rounds of Miller-Rabin.
3721    The maximal error rate for primes with more than 1080 bits is lowered
3722    to 2^-128.
3723
3724    *Kurt Roeckx, Annie Yousar*
3725
3726  * Increase the number of Miller-Rabin rounds for DSA key generating to 64.
3727
3728    *Kurt Roeckx*
3729
3730  * Add blinding to ECDSA and DSA signatures to protect against side channel
3731    attacks discovered by Keegan Ryan (NCC Group).
3732
3733    *Matt Caswell*
3734
3735  * When unlocking a pass phrase protected PEM file or PKCS#8 container, we
3736    now allow empty (zero character) pass phrases.
3737
3738    *Richard Levitte*
3739
3740  * Certificate time validation (X509_cmp_time) enforces stricter
3741    compliance with RFC 5280. Fractional seconds and timezone offsets
3742    are no longer allowed.
3743
3744    *Emilia Käsper*
3745
3746 ### Changes between 1.0.2n and 1.0.2o [27 Mar 2018] ###
3747
3748  * Constructed ASN.1 types with a recursive definition could exceed the stack
3749
3750    Constructed ASN.1 types with a recursive definition (such as can be found
3751    in PKCS7) could eventually exceed the stack given malicious input with
3752    excessive recursion. This could result in a Denial Of Service attack. There
3753    are no such structures used within SSL/TLS that come from untrusted sources
3754    so this is considered safe.
3755
3756    This issue was reported to OpenSSL on 4th January 2018 by the OSS-fuzz
3757    project.
3758    [CVE-2018-0739][]
3759
3760    *Matt Caswell*
3761
3762 ### Changes between 1.0.2m and 1.0.2n [7 Dec 2017] ###
3763
3764  * Read/write after SSL object in error state
3765
3766    OpenSSL 1.0.2 (starting from version 1.0.2b) introduced an "error state"
3767    mechanism. The intent was that if a fatal error occurred during a handshake
3768    then OpenSSL would move into the error state and would immediately fail if
3769    you attempted to continue the handshake. This works as designed for the
3770    explicit handshake functions (SSL_do_handshake(), SSL_accept() and
3771    SSL_connect()), however due to a bug it does not work correctly if
3772    SSL_read() or SSL_write() is called directly. In that scenario, if the
3773    handshake fails then a fatal error will be returned in the initial function
3774    call. If SSL_read()/SSL_write() is subsequently called by the application
3775    for the same SSL object then it will succeed and the data is passed without
3776    being decrypted/encrypted directly from the SSL/TLS record layer.
3777
3778    In order to exploit this issue an application bug would have to be present
3779    that resulted in a call to SSL_read()/SSL_write() being issued after having
3780    already received a fatal error.
3781
3782    This issue was reported to OpenSSL by David Benjamin (Google).
3783    [CVE-2017-3737][]
3784
3785    *Matt Caswell*
3786
3787  * rsaz_1024_mul_avx2 overflow bug on x86_64
3788
3789    There is an overflow bug in the AVX2 Montgomery multiplication procedure
3790    used in exponentiation with 1024-bit moduli. No EC algorithms are affected.
3791    Analysis suggests that attacks against RSA and DSA as a result of this
3792    defect would be very difficult to perform and are not believed likely.
3793    Attacks against DH1024 are considered just feasible, because most of the
3794    work necessary to deduce information about a private key may be performed
3795    offline. The amount of resources required for such an attack would be
3796    significant. However, for an attack on TLS to be meaningful, the server
3797    would have to share the DH1024 private key among multiple clients, which is
3798    no longer an option since CVE-2016-0701.
3799
3800    This only affects processors that support the AVX2 but not ADX extensions
3801    like Intel Haswell (4th generation).
3802
3803    This issue was reported to OpenSSL by David Benjamin (Google). The issue
3804    was originally found via the OSS-Fuzz project.
3805    [CVE-2017-3738][]
3806
3807    *Andy Polyakov*
3808
3809 ### Changes between 1.0.2l and 1.0.2m [2 Nov 2017] ###
3810
3811  * bn_sqrx8x_internal carry bug on x86_64
3812
3813    There is a carry propagating bug in the x86_64 Montgomery squaring
3814    procedure. No EC algorithms are affected. Analysis suggests that attacks
3815    against RSA and DSA as a result of this defect would be very difficult to
3816    perform and are not believed likely. Attacks against DH are considered just
3817    feasible (although very difficult) because most of the work necessary to
3818    deduce information about a private key may be performed offline. The amount
3819    of resources required for such an attack would be very significant and
3820    likely only accessible to a limited number of attackers. An attacker would
3821    additionally need online access to an unpatched system using the target
3822    private key in a scenario with persistent DH parameters and a private
3823    key that is shared between multiple clients.
3824
3825    This only affects processors that support the BMI1, BMI2 and ADX extensions
3826    like Intel Broadwell (5th generation) and later or AMD Ryzen.
3827
3828    This issue was reported to OpenSSL by the OSS-Fuzz project.
3829    [CVE-2017-3736][]
3830
3831    *Andy Polyakov*
3832
3833  * Malformed X.509 IPAddressFamily could cause OOB read
3834
3835    If an X.509 certificate has a malformed IPAddressFamily extension,
3836    OpenSSL could do a one-byte buffer overread. The most likely result
3837    would be an erroneous display of the certificate in text format.
3838
3839    This issue was reported to OpenSSL by the OSS-Fuzz project.
3840    [CVE-2017-3735][]
3841
3842    *Rich Salz*
3843
3844 ### Changes between 1.0.2k and 1.0.2l [25 May 2017] ###
3845
3846  * Have 'config' recognise 64-bit mingw and choose 'mingw64' as the target
3847    platform rather than 'mingw'.
3848
3849    *Richard Levitte*
3850
3851 ### Changes between 1.0.2j and 1.0.2k [26 Jan 2017] ###
3852
3853  * Truncated packet could crash via OOB read
3854
3855    If one side of an SSL/TLS path is running on a 32-bit host and a specific
3856    cipher is being used, then a truncated packet can cause that host to
3857    perform an out-of-bounds read, usually resulting in a crash.
3858
3859    This issue was reported to OpenSSL by Robert Święcki of Google.
3860    [CVE-2017-3731][]
3861
3862    *Andy Polyakov*
3863
3864  * BN_mod_exp may produce incorrect results on x86_64
3865
3866    There is a carry propagating bug in the x86_64 Montgomery squaring
3867    procedure. No EC algorithms are affected. Analysis suggests that attacks
3868    against RSA and DSA as a result of this defect would be very difficult to
3869    perform and are not believed likely. Attacks against DH are considered just
3870    feasible (although very difficult) because most of the work necessary to
3871    deduce information about a private key may be performed offline. The amount
3872    of resources required for such an attack would be very significant and
3873    likely only accessible to a limited number of attackers. An attacker would
3874    additionally need online access to an unpatched system using the target
3875    private key in a scenario with persistent DH parameters and a private
3876    key that is shared between multiple clients. For example this can occur by
3877    default in OpenSSL DHE based SSL/TLS ciphersuites. Note: This issue is very
3878    similar to CVE-2015-3193 but must be treated as a separate problem.
3879
3880    This issue was reported to OpenSSL by the OSS-Fuzz project.
3881    [CVE-2017-3732][]
3882
3883    *Andy Polyakov*
3884
3885  * Montgomery multiplication may produce incorrect results
3886
3887    There is a carry propagating bug in the Broadwell-specific Montgomery
3888    multiplication procedure that handles input lengths divisible by, but
3889    longer than 256 bits. Analysis suggests that attacks against RSA, DSA
3890    and DH private keys are impossible. This is because the subroutine in
3891    question is not used in operations with the private key itself and an input
3892    of the attacker's direct choice. Otherwise the bug can manifest itself as
3893    transient authentication and key negotiation failures or reproducible
3894    erroneous outcome of public-key operations with specially crafted input.
3895    Among EC algorithms only Brainpool P-512 curves are affected and one
3896    presumably can attack ECDH key negotiation. Impact was not analyzed in
3897    detail, because pre-requisites for attack are considered unlikely. Namely
3898    multiple clients have to choose the curve in question and the server has to
3899    share the private key among them, neither of which is default behaviour.
3900    Even then only clients that chose the curve will be affected.
3901
3902    This issue was publicly reported as transient failures and was not
3903    initially recognized as a security issue. Thanks to Richard Morgan for
3904    providing reproducible case.
3905    [CVE-2016-7055][]
3906
3907    *Andy Polyakov*
3908
3909  * OpenSSL now fails if it receives an unrecognised record type in TLS1.0
3910    or TLS1.1. Previously this only happened in SSLv3 and TLS1.2. This is to
3911    prevent issues where no progress is being made and the peer continually
3912    sends unrecognised record types, using up resources processing them.
3913
3914    *Matt Caswell*
3915
3916 ### Changes between 1.0.2i and 1.0.2j [26 Sep 2016] ###
3917
3918  * Missing CRL sanity check
3919
3920    A bug fix which included a CRL sanity check was added to OpenSSL 1.1.0
3921    but was omitted from OpenSSL 1.0.2i. As a result any attempt to use
3922    CRLs in OpenSSL 1.0.2i will crash with a null pointer exception.
3923
3924    This issue only affects the OpenSSL 1.0.2i
3925    [CVE-2016-7052][]
3926
3927    *Matt Caswell*
3928
3929 ### Changes between 1.0.2h and 1.0.2i [22 Sep 2016] ###
3930
3931  * OCSP Status Request extension unbounded memory growth
3932
3933    A malicious client can send an excessively large OCSP Status Request
3934    extension. If that client continually requests renegotiation, sending a
3935    large OCSP Status Request extension each time, then there will be unbounded
3936    memory growth on the server. This will eventually lead to a Denial Of
3937    Service attack through memory exhaustion. Servers with a default
3938    configuration are vulnerable even if they do not support OCSP. Builds using
3939    the "no-ocsp" build time option are not affected.
3940
3941    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
3942    [CVE-2016-6304][]
3943
3944    *Matt Caswell*
3945
3946  * In order to mitigate the SWEET32 attack, the DES ciphers were moved from
3947    HIGH to MEDIUM.
3948
3949    This issue was reported to OpenSSL Karthikeyan Bhargavan and Gaetan
3950    Leurent (INRIA)
3951    [CVE-2016-2183][]
3952
3953    *Rich Salz*
3954
3955  * OOB write in MDC2_Update()
3956
3957    An overflow can occur in MDC2_Update() either if called directly or
3958    through the EVP_DigestUpdate() function using MDC2. If an attacker
3959    is able to supply very large amounts of input data after a previous
3960    call to EVP_EncryptUpdate() with a partial block then a length check
3961    can overflow resulting in a heap corruption.
3962
3963    The amount of data needed is comparable to SIZE_MAX which is impractical
3964    on most platforms.
3965
3966    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
3967    [CVE-2016-6303][]
3968
3969    *Stephen Henson*
3970
3971  * Malformed SHA512 ticket DoS
3972
3973    If a server uses SHA512 for TLS session ticket HMAC it is vulnerable to a
3974    DoS attack where a malformed ticket will result in an OOB read which will
3975    ultimately crash.
3976
3977    The use of SHA512 in TLS session tickets is comparatively rare as it requires
3978    a custom server callback and ticket lookup mechanism.
3979
3980    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
3981    [CVE-2016-6302][]
3982
3983    *Stephen Henson*
3984
3985  * OOB write in BN_bn2dec()
3986
3987    The function BN_bn2dec() does not check the return value of BN_div_word().
3988    This can cause an OOB write if an application uses this function with an
3989    overly large BIGNUM. This could be a problem if an overly large certificate
3990    or CRL is printed out from an untrusted source. TLS is not affected because
3991    record limits will reject an oversized certificate before it is parsed.
3992
3993    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
3994    [CVE-2016-2182][]
3995
3996    *Stephen Henson*
3997
3998  * OOB read in TS_OBJ_print_bio()
3999
4000    The function TS_OBJ_print_bio() misuses OBJ_obj2txt(): the return value is
4001    the total length the OID text representation would use and not the amount
4002    of data written. This will result in OOB reads when large OIDs are
4003    presented.
4004
4005    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
4006    [CVE-2016-2180][]
4007
4008    *Stephen Henson*
4009
4010  * Pointer arithmetic undefined behaviour
4011
4012    Avoid some undefined pointer arithmetic
4013
4014    A common idiom in the codebase is to check limits in the following manner:
4015    "p + len > limit"
4016
4017    Where "p" points to some malloc'd data of SIZE bytes and
4018    limit == p + SIZE
4019
4020    "len" here could be from some externally supplied data (e.g. from a TLS
4021    message).
4022
4023    The rules of C pointer arithmetic are such that "p + len" is only well
4024    defined where len <= SIZE. Therefore the above idiom is actually
4025    undefined behaviour.
4026
4027    For example this could cause problems if some malloc implementation
4028    provides an address for "p" such that "p + len" actually overflows for
4029    values of len that are too big and therefore p + len < limit.
4030
4031    This issue was reported to OpenSSL by Guido Vranken
4032    [CVE-2016-2177][]
4033
4034    *Matt Caswell*
4035
4036  * Constant time flag not preserved in DSA signing
4037
4038    Operations in the DSA signing algorithm should run in constant time in
4039    order to avoid side channel attacks. A flaw in the OpenSSL DSA
4040    implementation means that a non-constant time codepath is followed for
4041    certain operations. This has been demonstrated through a cache-timing
4042    attack to be sufficient for an attacker to recover the private DSA key.
4043
4044    This issue was reported by César Pereida (Aalto University), Billy Brumley
4045    (Tampere University of Technology), and Yuval Yarom (The University of
4046    Adelaide and NICTA).
4047    [CVE-2016-2178][]
4048
4049    *César Pereida*
4050
4051  * DTLS buffered message DoS
4052
4053    In a DTLS connection where handshake messages are delivered out-of-order
4054    those messages that OpenSSL is not yet ready to process will be buffered
4055    for later use. Under certain circumstances, a flaw in the logic means that
4056    those messages do not get removed from the buffer even though the handshake
4057    has been completed. An attacker could force up to approx. 15 messages to
4058    remain in the buffer when they are no longer required. These messages will
4059    be cleared when the DTLS connection is closed. The default maximum size for
4060    a message is 100k. Therefore the attacker could force an additional 1500k
4061    to be consumed per connection. By opening many simulataneous connections an
4062    attacker could cause a DoS attack through memory exhaustion.
4063
4064    This issue was reported to OpenSSL by Quan Luo.
4065    [CVE-2016-2179][]
4066
4067    *Matt Caswell*
4068
4069  * DTLS replay protection DoS
4070
4071    A flaw in the DTLS replay attack protection mechanism means that records
4072    that arrive for future epochs update the replay protection "window" before
4073    the MAC for the record has been validated. This could be exploited by an
4074    attacker by sending a record for the next epoch (which does not have to
4075    decrypt or have a valid MAC), with a very large sequence number. This means
4076    that all subsequent legitimate packets are dropped causing a denial of
4077    service for a specific DTLS connection.
4078
4079    This issue was reported to OpenSSL by the OCAP audit team.
4080    [CVE-2016-2181][]
4081
4082    *Matt Caswell*
4083
4084  * Certificate message OOB reads
4085
4086    In OpenSSL 1.0.2 and earlier some missing message length checks can result
4087    in OOB reads of up to 2 bytes beyond an allocated buffer. There is a
4088    theoretical DoS risk but this has not been observed in practice on common
4089    platforms.
4090
4091    The messages affected are client certificate, client certificate request
4092    and server certificate. As a result the attack can only be performed
4093    against a client or a server which enables client authentication.
4094
4095    This issue was reported to OpenSSL by Shi Lei (Gear Team, Qihoo 360 Inc.)
4096    [CVE-2016-6306][]
4097
4098    *Stephen Henson*
4099
4100 ### Changes between 1.0.2g and 1.0.2h [3 May 2016] ###
4101
4102  * Prevent padding oracle in AES-NI CBC MAC check
4103
4104    A MITM attacker can use a padding oracle attack to decrypt traffic
4105    when the connection uses an AES CBC cipher and the server support
4106    AES-NI.
4107
4108    This issue was introduced as part of the fix for Lucky 13 padding
4109    attack [CVE-2013-0169][]. The padding check was rewritten to be in
4110    constant time by making sure that always the same bytes are read and
4111    compared against either the MAC or padding bytes. But it no longer
4112    checked that there was enough data to have both the MAC and padding
4113    bytes.
4114
4115    This issue was reported by Juraj Somorovsky using TLS-Attacker.
4116    [CVE-2016-2107][]
4117
4118    *Kurt Roeckx*
4119
4120  * Fix EVP_EncodeUpdate overflow
4121
4122    An overflow can occur in the EVP_EncodeUpdate() function which is used for
4123    Base64 encoding of binary data. If an attacker is able to supply very large
4124    amounts of input data then a length check can overflow resulting in a heap
4125    corruption.
4126
4127    Internally to OpenSSL the EVP_EncodeUpdate() function is primarily used by
4128    the PEM_write_bio* family of functions. These are mainly used within the
4129    OpenSSL command line applications, so any application which processes data
4130    from an untrusted source and outputs it as a PEM file should be considered
4131    vulnerable to this issue. User applications that call these APIs directly
4132    with large amounts of untrusted data may also be vulnerable.
4133
4134    This issue was reported by Guido Vranken.
4135    [CVE-2016-2105][]
4136
4137    *Matt Caswell*
4138
4139  * Fix EVP_EncryptUpdate overflow
4140
4141    An overflow can occur in the EVP_EncryptUpdate() function. If an attacker
4142    is able to supply very large amounts of input data after a previous call to
4143    EVP_EncryptUpdate() with a partial block then a length check can overflow
4144    resulting in a heap corruption. Following an analysis of all OpenSSL
4145    internal usage of the EVP_EncryptUpdate() function all usage is one of two
4146    forms. The first form is where the EVP_EncryptUpdate() call is known to be
4147    the first called function after an EVP_EncryptInit(), and therefore that
4148    specific call must be safe. The second form is where the length passed to
4149    EVP_EncryptUpdate() can be seen from the code to be some small value and
4150    therefore there is no possibility of an overflow. Since all instances are
4151    one of these two forms, it is believed that there can be no overflows in
4152    internal code due to this problem. It should be noted that
4153    EVP_DecryptUpdate() can call EVP_EncryptUpdate() in certain code paths.
4154    Also EVP_CipherUpdate() is a synonym for EVP_EncryptUpdate(). All instances
4155    of these calls have also been analysed too and it is believed there are no
4156    instances in internal usage where an overflow could occur.
4157
4158    This issue was reported by Guido Vranken.
4159    [CVE-2016-2106][]
4160
4161    *Matt Caswell*
4162
4163  * Prevent ASN.1 BIO excessive memory allocation
4164
4165    When ASN.1 data is read from a BIO using functions such as d2i_CMS_bio()
4166    a short invalid encoding can cause allocation of large amounts of memory
4167    potentially consuming excessive resources or exhausting memory.
4168
4169    Any application parsing untrusted data through d2i BIO functions is
4170    affected. The memory based functions such as d2i_X509() are *not* affected.
4171    Since the memory based functions are used by the TLS library, TLS
4172    applications are not affected.
4173
4174    This issue was reported by Brian Carpenter.
4175    [CVE-2016-2109][]
4176
4177    *Stephen Henson*
4178
4179  * EBCDIC overread
4180
4181    ASN1 Strings that are over 1024 bytes can cause an overread in applications
4182    using the X509_NAME_oneline() function on EBCDIC systems. This could result
4183    in arbitrary stack data being returned in the buffer.
4184
4185    This issue was reported by Guido Vranken.
4186    [CVE-2016-2176][]
4187
4188    *Matt Caswell*
4189
4190  * Modify behavior of ALPN to invoke callback after SNI/servername
4191    callback, such that updates to the SSL_CTX affect ALPN.
4192
4193    *Todd Short*
4194
4195  * Remove LOW from the DEFAULT cipher list.  This removes singles DES from the
4196    default.
4197
4198    *Kurt Roeckx*
4199
4200  * Only remove the SSLv2 methods with the no-ssl2-method option. When the
4201    methods are enabled and ssl2 is disabled the methods return NULL.
4202
4203    *Kurt Roeckx*
4204
4205 ### Changes between 1.0.2f and 1.0.2g [1 Mar 2016] ###
4206
4207 * Disable weak ciphers in SSLv3 and up in default builds of OpenSSL.
4208   Builds that are not configured with "enable-weak-ssl-ciphers" will not
4209   provide any "EXPORT" or "LOW" strength ciphers.
4210
4211   *Viktor Dukhovni*
4212
4213 * Disable SSLv2 default build, default negotiation and weak ciphers.  SSLv2
4214   is by default disabled at build-time.  Builds that are not configured with
4215   "enable-ssl2" will not support SSLv2.  Even if "enable-ssl2" is used,
4216   users who want to negotiate SSLv2 via the version-flexible SSLv23_method()
4217   will need to explicitly call either of:
4218
4219       SSL_CTX_clear_options(ctx, SSL_OP_NO_SSLv2);
4220   or
4221       SSL_clear_options(ssl, SSL_OP_NO_SSLv2);
4222
4223   as appropriate.  Even if either of those is used, or the application
4224   explicitly uses the version-specific SSLv2_method() or its client and
4225   server variants, SSLv2 ciphers vulnerable to exhaustive search key
4226   recovery have been removed.  Specifically, the SSLv2 40-bit EXPORT
4227   ciphers, and SSLv2 56-bit DES are no longer available.
4228   [CVE-2016-0800][]
4229
4230    *Viktor Dukhovni*
4231
4232  * Fix a double-free in DSA code
4233
4234    A double free bug was discovered when OpenSSL parses malformed DSA private
4235    keys and could lead to a DoS attack or memory corruption for applications
4236    that receive DSA private keys from untrusted sources.  This scenario is
4237    considered rare.
4238
4239    This issue was reported to OpenSSL by Adam Langley(Google/BoringSSL) using
4240    libFuzzer.
4241    [CVE-2016-0705][]
4242
4243    *Stephen Henson*
4244
4245  * Disable SRP fake user seed to address a server memory leak.
4246
4247    Add a new method SRP_VBASE_get1_by_user that handles the seed properly.
4248
4249    SRP_VBASE_get_by_user had inconsistent memory management behaviour.
4250    In order to fix an unavoidable memory leak, SRP_VBASE_get_by_user
4251    was changed to ignore the "fake user" SRP seed, even if the seed
4252    is configured.
4253
4254    Users should use SRP_VBASE_get1_by_user instead. Note that in
4255    SRP_VBASE_get1_by_user, caller must free the returned value. Note
4256    also that even though configuring the SRP seed attempts to hide
4257    invalid usernames by continuing the handshake with fake
4258    credentials, this behaviour is not constant time and no strong
4259    guarantees are made that the handshake is indistinguishable from
4260    that of a valid user.
4261    [CVE-2016-0798][]
4262
4263    *Emilia Käsper*
4264
4265  * Fix BN_hex2bn/BN_dec2bn NULL pointer deref/heap corruption
4266
4267    In the BN_hex2bn function the number of hex digits is calculated using an
4268    int value |i|. Later |bn_expand| is called with a value of |i * 4|. For
4269    large values of |i| this can result in |bn_expand| not allocating any
4270    memory because |i * 4| is negative. This can leave the internal BIGNUM data
4271    field as NULL leading to a subsequent NULL ptr deref. For very large values
4272    of |i|, the calculation |i * 4| could be a positive value smaller than |i|.
4273    In this case memory is allocated to the internal BIGNUM data field, but it
4274    is insufficiently sized leading to heap corruption. A similar issue exists
4275    in BN_dec2bn. This could have security consequences if BN_hex2bn/BN_dec2bn
4276    is ever called by user applications with very large untrusted hex/dec data.
4277    This is anticipated to be a rare occurrence.
4278
4279    All OpenSSL internal usage of these functions use data that is not expected
4280    to be untrusted, e.g. config file data or application command line
4281    arguments. If user developed applications generate config file data based
4282    on untrusted data then it is possible that this could also lead to security
4283    consequences. This is also anticipated to be rare.
4284
4285    This issue was reported to OpenSSL by Guido Vranken.
4286    [CVE-2016-0797][]
4287
4288    *Matt Caswell*
4289
4290  * Fix memory issues in BIO_*printf functions
4291
4292    The internal |fmtstr| function used in processing a "%s" format string in
4293    the BIO_*printf functions could overflow while calculating the length of a
4294    string and cause an OOB read when printing very long strings.
4295
4296    Additionally the internal |doapr_outch| function can attempt to write to an
4297    OOB memory location (at an offset from the NULL pointer) in the event of a
4298    memory allocation failure. In 1.0.2 and below this could be caused where
4299    the size of a buffer to be allocated is greater than INT_MAX. E.g. this
4300    could be in processing a very long "%s" format string. Memory leaks can
4301    also occur.
4302
4303    The first issue may mask the second issue dependent on compiler behaviour.
4304    These problems could enable attacks where large amounts of untrusted data
4305    is passed to the BIO_*printf functions. If applications use these functions
4306    in this way then they could be vulnerable. OpenSSL itself uses these
4307    functions when printing out human-readable dumps of ASN.1 data. Therefore
4308    applications that print this data could be vulnerable if the data is from
4309    untrusted sources. OpenSSL command line applications could also be
4310    vulnerable where they print out ASN.1 data, or if untrusted data is passed
4311    as command line arguments.
4312
4313    Libssl is not considered directly vulnerable. Additionally certificates etc
4314    received via remote connections via libssl are also unlikely to be able to
4315    trigger these issues because of message size limits enforced within libssl.
4316
4317    This issue was reported to OpenSSL Guido Vranken.
4318    [CVE-2016-0799][]
4319
4320    *Matt Caswell*
4321
4322  * Side channel attack on modular exponentiation
4323
4324    A side-channel attack was found which makes use of cache-bank conflicts on
4325    the Intel Sandy-Bridge microarchitecture which could lead to the recovery
4326    of RSA keys.  The ability to exploit this issue is limited as it relies on
4327    an attacker who has control of code in a thread running on the same
4328    hyper-threaded core as the victim thread which is performing decryptions.
4329
4330    This issue was reported to OpenSSL by Yuval Yarom, The University of
4331    Adelaide and NICTA, Daniel Genkin, Technion and Tel Aviv University, and
4332    Nadia Heninger, University of Pennsylvania with more information at
4333    http://cachebleed.info.
4334    [CVE-2016-0702][]
4335
4336    *Andy Polyakov*
4337
4338  * Change the req app to generate a 2048-bit RSA/DSA key by default,
4339    if no keysize is specified with default_bits. This fixes an
4340    omission in an earlier change that changed all RSA/DSA key generation
4341    apps to use 2048 bits by default.
4342
4343    *Emilia Käsper*
4344
4345 ### Changes between 1.0.2e and 1.0.2f [28 Jan 2016] ###
4346  * DH small subgroups
4347
4348    Historically OpenSSL only ever generated DH parameters based on "safe"
4349    primes. More recently (in version 1.0.2) support was provided for
4350    generating X9.42 style parameter files such as those required for RFC 5114
4351    support. The primes used in such files may not be "safe". Where an
4352    application is using DH configured with parameters based on primes that are
4353    not "safe" then an attacker could use this fact to find a peer's private
4354    DH exponent. This attack requires that the attacker complete multiple
4355    handshakes in which the peer uses the same private DH exponent. For example
4356    this could be used to discover a TLS server's private DH exponent if it's
4357    reusing the private DH exponent or it's using a static DH ciphersuite.
4358
4359    OpenSSL provides the option SSL_OP_SINGLE_DH_USE for ephemeral DH (DHE) in
4360    TLS. It is not on by default. If the option is not set then the server
4361    reuses the same private DH exponent for the life of the server process and
4362    would be vulnerable to this attack. It is believed that many popular
4363    applications do set this option and would therefore not be at risk.
4364
4365    The fix for this issue adds an additional check where a "q" parameter is
4366    available (as is the case in X9.42 based parameters). This detects the
4367    only known attack, and is the only possible defense for static DH
4368    ciphersuites. This could have some performance impact.
4369
4370    Additionally the SSL_OP_SINGLE_DH_USE option has been switched on by
4371    default and cannot be disabled. This could have some performance impact.
4372
4373    This issue was reported to OpenSSL by Antonio Sanso (Adobe).
4374    [CVE-2016-0701][]
4375
4376    *Matt Caswell*
4377
4378  * SSLv2 doesn't block disabled ciphers
4379
4380    A malicious client can negotiate SSLv2 ciphers that have been disabled on
4381    the server and complete SSLv2 handshakes even if all SSLv2 ciphers have
4382    been disabled, provided that the SSLv2 protocol was not also disabled via
4383    SSL_OP_NO_SSLv2.
4384
4385    This issue was reported to OpenSSL on 26th December 2015 by Nimrod Aviram
4386    and Sebastian Schinzel.
4387    [CVE-2015-3197][]
4388
4389    *Viktor Dukhovni*
4390
4391 ### Changes between 1.0.2d and 1.0.2e [3 Dec 2015] ###
4392
4393  * BN_mod_exp may produce incorrect results on x86_64
4394
4395    There is a carry propagating bug in the x86_64 Montgomery squaring
4396    procedure. No EC algorithms are affected. Analysis suggests that attacks
4397    against RSA and DSA as a result of this defect would be very difficult to
4398    perform and are not believed likely. Attacks against DH are considered just
4399    feasible (although very difficult) because most of the work necessary to
4400    deduce information about a private key may be performed offline. The amount
4401    of resources required for such an attack would be very significant and
4402    likely only accessible to a limited number of attackers. An attacker would
4403    additionally need online access to an unpatched system using the target
4404    private key in a scenario with persistent DH parameters and a private
4405    key that is shared between multiple clients. For example this can occur by
4406    default in OpenSSL DHE based SSL/TLS ciphersuites.
4407
4408    This issue was reported to OpenSSL by Hanno Böck.
4409    [CVE-2015-3193][]
4410
4411    *Andy Polyakov*
4412
4413  * Certificate verify crash with missing PSS parameter
4414
4415    The signature verification routines will crash with a NULL pointer
4416    dereference if presented with an ASN.1 signature using the RSA PSS
4417    algorithm and absent mask generation function parameter. Since these
4418    routines are used to verify certificate signature algorithms this can be
4419    used to crash any certificate verification operation and exploited in a
4420    DoS attack. Any application which performs certificate verification is
4421    vulnerable including OpenSSL clients and servers which enable client
4422    authentication.
4423
4424    This issue was reported to OpenSSL by Loïc Jonas Etienne (Qnective AG).
4425    [CVE-2015-3194][]
4426
4427    *Stephen Henson*
4428
4429  * X509_ATTRIBUTE memory leak
4430
4431    When presented with a malformed X509_ATTRIBUTE structure OpenSSL will leak
4432    memory. This structure is used by the PKCS#7 and CMS routines so any
4433    application which reads PKCS#7 or CMS data from untrusted sources is
4434    affected. SSL/TLS is not affected.
4435
4436    This issue was reported to OpenSSL by Adam Langley (Google/BoringSSL) using
4437    libFuzzer.
4438    [CVE-2015-3195][]
4439
4440    *Stephen Henson*
4441
4442  * Rewrite EVP_DecodeUpdate (base64 decoding) to fix several bugs.
4443    This changes the decoding behaviour for some invalid messages,
4444    though the change is mostly in the more lenient direction, and
4445    legacy behaviour is preserved as much as possible.
4446
4447    *Emilia Käsper*
4448
4449  * In DSA_generate_parameters_ex, if the provided seed is too short,
4450    return an error
4451
4452    *Rich Salz and Ismo Puustinen <ismo.puustinen@intel.com>*
4453
4454 ### Changes between 1.0.2c and 1.0.2d [9 Jul 2015] ###
4455
4456  * Alternate chains certificate forgery
4457
4458    During certificate verification, OpenSSL will attempt to find an
4459    alternative certificate chain if the first attempt to build such a chain
4460    fails. An error in the implementation of this logic can mean that an
4461    attacker could cause certain checks on untrusted certificates to be
4462    bypassed, such as the CA flag, enabling them to use a valid leaf
4463    certificate to act as a CA and "issue" an invalid certificate.
4464
4465    This issue was reported to OpenSSL by Adam Langley/David Benjamin
4466    (Google/BoringSSL).
4467
4468    *Matt Caswell*
4469
4470 ### Changes between 1.0.2b and 1.0.2c [12 Jun 2015] ###
4471
4472  * Fix HMAC ABI incompatibility. The previous version introduced an ABI
4473    incompatibility in the handling of HMAC. The previous ABI has now been
4474    restored.
4475
4476    *Matt Caswell*
4477
4478 ### Changes between 1.0.2a and 1.0.2b [11 Jun 2015] ###
4479
4480  * Malformed ECParameters causes infinite loop
4481
4482    When processing an ECParameters structure OpenSSL enters an infinite loop
4483    if the curve specified is over a specially malformed binary polynomial
4484    field.
4485
4486    This can be used to perform denial of service against any
4487    system which processes public keys, certificate requests or
4488    certificates.  This includes TLS clients and TLS servers with
4489    client authentication enabled.
4490
4491    This issue was reported to OpenSSL by Joseph Barr-Pixton.
4492    [CVE-2015-1788][]
4493
4494    *Andy Polyakov*
4495
4496  * Exploitable out-of-bounds read in X509_cmp_time
4497
4498    X509_cmp_time does not properly check the length of the ASN1_TIME
4499    string and can read a few bytes out of bounds. In addition,
4500    X509_cmp_time accepts an arbitrary number of fractional seconds in the
4501    time string.
4502
4503    An attacker can use this to craft malformed certificates and CRLs of
4504    various sizes and potentially cause a segmentation fault, resulting in
4505    a DoS on applications that verify certificates or CRLs. TLS clients
4506    that verify CRLs are affected. TLS clients and servers with client
4507    authentication enabled may be affected if they use custom verification
4508    callbacks.
4509
4510    This issue was reported to OpenSSL by Robert Swiecki (Google), and
4511    independently by Hanno Böck.
4512    [CVE-2015-1789][]
4513
4514    *Emilia Käsper*
4515
4516  * PKCS7 crash with missing EnvelopedContent
4517
4518    The PKCS#7 parsing code does not handle missing inner EncryptedContent
4519    correctly. An attacker can craft malformed ASN.1-encoded PKCS#7 blobs
4520    with missing content and trigger a NULL pointer dereference on parsing.
4521
4522    Applications that decrypt PKCS#7 data or otherwise parse PKCS#7
4523    structures from untrusted sources are affected. OpenSSL clients and
4524    servers are not affected.
4525
4526    This issue was reported to OpenSSL by Michal Zalewski (Google).
4527    [CVE-2015-1790][]
4528
4529    *Emilia Käsper*
4530
4531  * CMS verify infinite loop with unknown hash function
4532
4533    When verifying a signedData message the CMS code can enter an infinite loop
4534    if presented with an unknown hash function OID. This can be used to perform
4535    denial of service against any system which verifies signedData messages using
4536    the CMS code.
4537    This issue was reported to OpenSSL by Johannes Bauer.
4538    [CVE-2015-1792][]
4539
4540    *Stephen Henson*
4541
4542  * Race condition handling NewSessionTicket
4543
4544    If a NewSessionTicket is received by a multi-threaded client when attempting to
4545    reuse a previous ticket then a race condition can occur potentially leading to
4546    a double free of the ticket data.
4547    [CVE-2015-1791][]
4548
4549    *Matt Caswell*
4550
4551  * Only support 256-bit or stronger elliptic curves with the
4552    'ecdh_auto' setting (server) or by default (client). Of supported
4553    curves, prefer P-256 (both).
4554
4555    *Emilia Kasper*
4556
4557 ### Changes between 1.0.2 and 1.0.2a [19 Mar 2015] ###
4558
4559  * ClientHello sigalgs DoS fix
4560
4561    If a client connects to an OpenSSL 1.0.2 server and renegotiates with an
4562    invalid signature algorithms extension a NULL pointer dereference will
4563    occur. This can be exploited in a DoS attack against the server.
4564
4565    This issue was was reported to OpenSSL by David Ramos of Stanford
4566    University.
4567    [CVE-2015-0291][]
4568
4569    *Stephen Henson and Matt Caswell*
4570
4571  * Multiblock corrupted pointer fix
4572
4573    OpenSSL 1.0.2 introduced the "multiblock" performance improvement. This
4574    feature only applies on 64 bit x86 architecture platforms that support AES
4575    NI instructions. A defect in the implementation of "multiblock" can cause
4576    OpenSSL's internal write buffer to become incorrectly set to NULL when
4577    using non-blocking IO. Typically, when the user application is using a
4578    socket BIO for writing, this will only result in a failed connection.
4579    However if some other BIO is used then it is likely that a segmentation
4580    fault will be triggered, thus enabling a potential DoS attack.
4581
4582    This issue was reported to OpenSSL by Daniel Danner and Rainer Mueller.
4583    [CVE-2015-0290][]
4584
4585    *Matt Caswell*
4586
4587  * Segmentation fault in DTLSv1_listen fix
4588
4589    The DTLSv1_listen function is intended to be stateless and processes the
4590    initial ClientHello from many peers. It is common for user code to loop
4591    over the call to DTLSv1_listen until a valid ClientHello is received with
4592    an associated cookie. A defect in the implementation of DTLSv1_listen means
4593    that state is preserved in the SSL object from one invocation to the next
4594    that can lead to a segmentation fault. Errors processing the initial
4595    ClientHello can trigger this scenario. An example of such an error could be
4596    that a DTLS1.0 only client is attempting to connect to a DTLS1.2 only
4597    server.
4598
4599    This issue was reported to OpenSSL by Per Allansson.
4600    [CVE-2015-0207][]
4601
4602    *Matt Caswell*
4603
4604  * Segmentation fault in ASN1_TYPE_cmp fix
4605
4606    The function ASN1_TYPE_cmp will crash with an invalid read if an attempt is
4607    made to compare ASN.1 boolean types. Since ASN1_TYPE_cmp is used to check
4608    certificate signature algorithm consistency this can be used to crash any