Transmission 4.1.4 corregge una RCE, OpenSSL 4.1 porta DTLS 1.3

🐧 Novità principali

• Transmission 4.1.4 corregge una potenziale RCE su macOS, rafforza le chiamate RPC e risolve problemi di download e gestione dei torrent.
• OpenSSL 4.1.0 introduce DTLS 1.3, GREASE e IKEv2 KDF, migliorando il supporto ai protocolli crittografici e le prestazioni degli algoritmi post-quantistici.
• La nuova versione OpenSSL mantiene quattro problemi noti nel supporto DTLS, da valutare prima dell’adozione nei servizi di produzione.

Transmission 4.1.4 e OpenSSL 4.1.0 arrivano nell’ecosistema open source con aggiornamenti che interessano rispettivamente la stabilità dei trasferimenti BitTorrent e la sicurezza delle comunicazioni crittografiche. Transmission corregge una potenziale vulnerabilità di esecuzione di codice su macOS, migliora la gestione delle sessioni e risolve diversi problemi nelle interfacce GTK, Qt e Web. OpenSSL 4.1 introduce invece il supporto a DTLS 1.3, nuove funzionalità per la negoziazione TLS e ottimizzazioni degli algoritmi post-quantistici. Le due release hanno un impatto differente sugli amministratori Linux: la prima rappresenta un aggiornamento di manutenzione, mentre la seconda richiede verifiche di compatibilità per le applicazioni che utilizzano la libreria crittografica.

Transmission 4.1.4 corregge una RCE su macOS e rafforza le chiamate RPC

La nuova versione del client BitTorrent open source Transmission 4.1.4 è disponibile dal 23 ottobre 2026 e interviene su problemi emersi dopo il rilascio della serie 4.1. Secondo le note di rilascio pubblicate nel repository ufficiale, l’aggiornamento corregge una potenziale vulnerabilità Remote Code Execution nel client macOS, identificata dall’advisory GHSA-v7mp-fpv3-jf5r. Il requisito per sfruttarla è però determinante: l’aggressore deve già disporre di accesso locale in scrittura alle preferenze dell’utente, pertanto non si tratta di una vulnerabilità direttamente sfruttabile da remoto attraverso un torrent malevolo. Il progetto raccomanda comunque l’aggiornamento e porta la versione minima supportata a macOS 12, modificando anche il sistema di firma degli aggiornamenti Sparkle da DSA a EdDSA.

Le modifiche comuni alle diverse piattaforme comprendono il rafforzamento del metodo RPC torrent-add contro richieste malformate, la correzione di una regressione introdotta con Transmission 4.1.0 che poteva provocare la perdita dello stato di avanzamento dei download contenenti file da zero byte e la risoluzione di un problema che impediva ad alcuni trasferimenti tramite webseed di completarsi. Gli sviluppatori hanno inoltre corretto la gestione delle limitazioni di velocità per singolo torrent, che ora vengono applicate correttamente sia al download sia all’upload. Un’altra modifica riguarda TR_CURL_PROXY_SSL_NO_VERIFY, la cui impostazione poteva interferire erroneamente con la verifica SSL del server di origine. L’intervento distingue nuovamente le impostazioni relative al proxy dai controlli di autenticità della destinazione. La release prosegue il percorso già avviato con Transmission 4.1.2, dedicato soprattutto alla stabilità dei download e alle correzioni multipiattaforma.

Leggi anche: GStreamer 1.28, Transmission 4.1 e GIMP 3.0.8 aggiornano Linux

Transmission migliora GTK e Qt su Linux e corregge l’interfaccia Web

Sul desktop Linux, Transmission 4.1.4 migliora l’integrazione fra le interfacce GTK e Qt, consentendo di trasferire automaticamente una nuova richiesta di aggiunta torrent alla sessione già aperta, anche quando il browser tenta di avviare l’altra interfaccia attraverso un’associazione MIME. La modifica evita sessioni separate e rende più coerente la gestione dei file torrent e dei magnet link. Il client GTK aggiorna automaticamente ordinamento e filtri quando cambia il nome della cartella principale di un torrent, per esempio dopo aver ricevuto i metadati associati a un magnet link, e corregge l’apertura della directory quando un torrent contenente un solo file utilizza una struttura di sottocartelle. Viene risolto anche un problema che impediva la visualizzazione dell’icona su alcuni ambienti desktop. Il client Qt riduce l’utilizzo della CPU nell’interfaccia, mentre la versione Web corregge la visualizzazione di alcuni torrent identificati erroneamente come Unknown. Gli utenti che amministrano il demone da terminale ottengono inoltre la correzione di transmission-remote --list-groups, funzione rimasta difettosa dalla versione 4.0. Le modifiche sono particolarmente utili nei sistemi Linux desktop, nei piccoli server domestici e nei NAS che utilizzano Transmission con un’interfaccia amministrativa remota.

OpenSSL 4.1 introduce DTLS 1.3 per proteggere le comunicazioni UDP

Il cambiamento più significativo arriva da OpenSSL 4.1.0, distribuito ufficialmente il 23 ottobre 2026. La nuova versione introduce il supporto a DTLS 1.3 secondo RFC 9147, estendendo ai protocolli basati su datagrammi le caratteristiche di sicurezza sviluppate con TLS 1.3. La documentazione ufficiale del progetto conferma anche l’integrazione di DTLS nelle API SSL listener, permettendo alle applicazioni di gestire connessioni sicure su trasporti come UDP. Questo supporto è rilevante per software che richiedono comunicazioni a bassa latenza e non possono affidarsi esclusivamente al modello TLS tradizionale su TCP, ma DTLS 1.3 non equivale a una sostituzione automatica di TLS nelle applicazioni esistenti: il programma deve implementare correttamente il nuovo protocollo e le relative procedure di gestione delle sessioni.

OpenSSL aggiunge anche il supporto a GREASE, definito dalla RFC 8701, meccanismo che introduce valori riservati durante la negoziazione per impedire che gli apparati intermedi sviluppino dipendenze improprie da un insieme ristretto di parametri TLS. La funzionalità contribuisce a mantenere estensibile l’ecosistema crittografico, riducendo il rischio che implementazioni troppo rigide ostacolino l’introduzione di nuove caratteristiche. Un’altra novità è IKEv2 KDF, la funzione di derivazione delle chiavi utilizzata nell’ecosistema Internet Key Exchange, importante per le applicazioni che sviluppano componenti VPN e sistemi di autenticazione basati su IPsec. Le funzionalità erano già state presentate durante la fase preliminare di OpenSSL 4.1, insieme agli aggiornamenti dello stack Linux, ma il nuovo rilascio ne segna la disponibilità stabile.

OpenSSL accelera gli algoritmi post-quantistici ma DTLS presenta problemi noti

La release introduce ottimizzazioni per ML-DSA e ML-KEM, algoritmi associati alla crittografia post-quantistica, migliorando le operazioni NTT sulle architetture PowerPC ppc64le e x86_64. Sono inoltre disponibili implementazioni ottimizzate AVX-512 di SHAKE x4 per ML-DSA e miglioramenti nella decifratura AES-CBC attraverso AVX-512 e VAES. Il progetto aggiunge un supporto iniziale all’architettura Elbrus2000, elimina i target Windows Itanium e Windows CE e modifica le dipendenze dello strumento tsget, che utilizza Net::Curl::Easy al posto della libreria abbandonata WWW::Curl::Easy.

Le note ufficiali documentano tuttavia quattro problemi noti in DTLS 1.3. Il più significativo riguarda la gestione di KeyUpdate, che può eliminare dal buffer di ritrasmissione record ancora in attesa di conferma, come i NewSessionTicket. Altri problemi interessano la segnalazione degli errori nelle connessioni non bloccanti e l’interruzione di determinati handshake quando si verifica perdita di pacchetti. Non significa che tutte le applicazioni OpenSSL siano vulnerabili, ma che chi introduce DTLS 1.3 deve verificarne il comportamento nelle proprie condizioni di rete. Il passaggio richiede particolare attenzione dopo le precedenti correzioni OpenSSL 4.0.3 per vulnerabilità in DTLS e QUIC.

Continua con:

Ubuntu 26.10 rafforza il boot mentre Debian 14 Forky prosegue lo sviluppo

Gli aggiornamenti Linux richiedono verifiche diverse per client e librerie

Transmission 4.1.4 è un aggiornamento di manutenzione consigliato, soprattutto per correggere la vulnerabilità macOS e migliorare la stabilità delle sessioni Linux. OpenSSL 4.1 richiede invece una valutazione applicativa, perché la disponibilità di nuove API crittografiche non implica automaticamente che i servizi installati le utilizzino correttamente. Gli amministratori devono verificare le versioni effettivamente caricate dai programmi, le dipendenze distribuite attraverso i pacchetti della propria distribuzione e la compatibilità delle applicazioni che gestiscono connessioni DTLS. La differenza è nella superficie di intervento: Transmission aggiorna un’applicazione specifica, mentre OpenSSL può influenzare numerosi servizi che condividono lo stesso componente crittografico. In entrambi i casi, la pubblicazione della nuova release rappresenta il punto di partenza per un aggiornamento verificato, non la garanzia automatica di una configurazione sicura.