Debians sikkerhedsbulletin

DSA-3436-1 openssl -- sikkerhedsopdatering

Rapporteret den:

8. jan 2016

Berørte pakker:

openssl

Sårbar:

Referencer i sikkerhedsdatabaser:

I Mitres CVE-ordbog: CVE-2015-7575.

Yderligere oplysninger:

Karthikeyan Bhargavan og Gaetan Leurent ved INRIA opdagede en fejl i protokollen TLS 1.2, hvilket kunne muliggøre at MD5-hashfunktionen blev anvendt til signering af ServerKeyExchange- og Client Authentication-pakker under et TLS-handshake. En manden i midten-angriber kunne udnytte fejlen til at gennemføre kollisionsangreb med det formål at udgive sig for at være en TLS-server eller en autentificeret TLS-klient.

Flere oplysninger findes i https://www.mitls.org/pages/attacks/SLOTH

I den gamle stabile distribution (wheezy), er dette problem rettet i version 1.0.1e-2+deb7u19.

I den stabile distribution (jessie), i distributionen testing (stretch) og i den ustabile distribution (sid), blev problemet allerede løst i version 1.0.1f-1.

Vi anbefaler at du opgraderer dine openssl-pakker.