Debian セキュリティ勧告
DSA-2141-1 openssl -- SSL/TLS の安全でない再ネゴシエーション関係設計ミス
- 報告日時:
- 2011-01-06
- 影響を受けるパッケージ:
- openssl
- 危険性:
- あり
- 参考セキュリティデータベース:
- Debian バグ追跡システム: バグ 555829.
Mitre の CVE 辞書: CVE-2009-3555, CVE-2010-4180. - 詳細:
-
DSA-2141は3つの個々の部品から構成されます。 そして、それはメーリングリストアーカイブで見られることができます。 DSA 2141-2 (nss)、 +DSA 2141-3 (apache2)と +DSA 2141-4 (lighttpd)です。 このページは、最初の部分である openssl をカバーするのみとなっています。
- CVE-2009-3555
Marsh Ray, Steve Dispensa, および Martin Rex の各氏により TLS および SSLv3 プロトコルに欠陥が発見されました。攻撃者が TLS コネクションの開始時に中間者攻撃を行える状況下で、攻撃者がユ ーザのセッションの冒頭に任意のコンテンツを注入可能です。この 更新は、この問題に対処した新しい RFC5746 再ネゴシエーション 機能拡張をバックポートしてサポートするものです。
Openssl がサーバアプリケーションで使われていた場合、RFC5746 セキュア債ネゴシエーション機能拡張をサポートしないクライアン トからの、再ネゴシエーション要求を受け付けなくなります。 iceweasel ウェブブラウザで利用しているセキュリティライブラリ nss の RFC5746 サポートには別のアドバイゾリが発行されます。 apache2 には、安全でない再ネゴシエーションを許す選択を行うた めの更新が提供されます。
この版の openssl は古い版の tor と互換性がありません。Debian 安定版 (stable) のポイントリリース 5.0.7 に収録された tor バ ージョン 0.2.1.26-1~lenny+1 以降を使う必要があります。
現在同様の互換性問題が発生するソフトウェアがあるとの報告は受 けていません。
- CVE-2010-4180
更に、この更新ではクライアントが、サーバで指定した利用する暗 号アルゴリズムの設定を迂回できる欠陥が修正されています。
安定版 (stable) ディストリビューション (lenny) では、この問題 はバージョン 0.9.8g-15+lenny11 で修正されています。
テスト版 (testing) および不安定版 (unstable) ディストリビュー ション (squeeze および sid) では、これらの問題はバージョン 0.9.8o-4 で修正されています。
直ぐに openssl パッケージをアップグレードすることを勧めます。
Debian Security Advisories に関する説明、これらの更新をシステム に適用する方法、FAQ などは https://www.debian.org/security/ を参照ください。
- CVE-2009-3555