Breaking Changes
Version 2.0 von BOMnipotent bricht notgedrungen die Client-Server-Kommunikation und einige CSAFs.
Der obligatorische Test 6.1.11 des CSAF-Standards besagt, dass ein CWE-Eintrag auf Korrektheit geprüft werden muss. Als jedoch kürzlich der neue CWE-Katalog erschienen ist, wurden einige Namen geändert. Konkret brach das im Standard genannte Beispiel, weil der “(‘Cross-site Scripting’)"-Teil des Namens gestrichen wurde.
Der CSAF-2.1-Standard adressiert dieses Problem und fügt dem CWE ein “version”-Feld hinzu, aber mit dieser neuen Version von BOMnipotent wurden mehrere CSAF-2.0-Dokumente für ungültig erklärt. Daher der Breaking Change.
Weiterhin hat der Sicherheitsforscher kta1kri eine Sicherheitslücke in der Kommunikation zwischen Client und Server gefunden. Es war nicht möglich, diese ohne einen weiteren Breaking Change zu beheben, weshalb eine authentifizierte Kommunikation zwischen einem 1.x-Client und einem 2.x-Server oder umgekehrt nicht möglich ist. Deshalb wird die 1.x-Version auch sofort als veraltet markiert. Vielen Dank an kta1kri für den Fund!
Das vollständige Changelog findet sich, wie immer, in der Dokumentation.
