Debian セキュリティ勧告

DSA-2454-2 openssl -- 複数の脆弱性

報告日時:
2012-04-24
影響を受けるパッケージ:
openssl
危険性:
あり
参考セキュリティデータベース:
Mitre の CVE 辞書: CVE-2012-0884, CVE-2012-1165, CVE-2012-2110, CVE-2012-2131.
詳細:

複数の欠陥が OpenSSL に発見されました。The Common Vulnerabilities and Exposures project は以下の問題を認識しています。

  • CVE-2012-0884

    Ivan Nestlerode さんにより、CMS と PKCS #7 実装に欠陥が発見されました。この欠陥を Million Message Attack (MMA) により攻撃することで暗号の解読が可能です。

  • CVE-2012-1165

    細工された S/MEME メッセージの処理で NULL ポインタ参照を起こし、サービス拒否攻撃に繋がるというが発見されました。

  • CVE-2012-2110

    Google Security Team の Tavis Ormandy さんにより、DER 符号化された ASN.1 データの処理に欠陥があり、 ヒープオーバフローに繋がることがが発見されました。

更に、この修正では CVE-2011-4619 の更新が SGC ハンドシェイク問題に対応できるよう修正されています。

Red Hat の Tomas Hoger さんにより、0.9.8 系列の OpenSSL に対する CVE-2012-2110 の修正が不完全であることが発見されました。この問題は CVE-2012-2131 に割り当てられています。

安定版 (stable) ディストリビューション (squeeze) では、これらの問題はバージョン 0.9.8o-4squeeze12 で修正されています。

テスト版 (testing) ディストリビューション (wheezy) では、これらの問題は近く修正予定です。

不安定版 (unstable) ディストリビューション (sid) では、これらの問題はバージョン 1.0.1a-1 で修正されています。

直ぐに openssl パッケージをアップグレードすることを勧めます。