DebianDSA-4018-1：openssl - セキュリティ更新

medium Nessus プラグイン ID 104402

Language:

概要

リモートのDebianホストにセキュリティ関連の更新プログラムがありません。

説明

Secure Sockets LayerのツールキットであるOpenSSLで、複数の脆弱性が発見されました。Common Vulnerabilities and Exposuresプロジェクトでは、次の問題を特定しています：

- CVE-2017-3735OpenSSLが、X.509証明書の無効な形式のIPAddressFamily拡張を解析する際に、1バイトのバッファオーバーリードに脆弱であることが判明しました。

詳細については、upstreamアドバイザリを参照してください：
https://www.openssl.org/news/secadv/20170828.txt

- CVE-2017-3736OpenSSLに、x86_64 Montgomery積算プロシージャに、桁上げ伝搬のバグが含まれることが判明しました。

詳細については、upstreamアドバイザリを参照してください：
https://www.openssl.org/news/secadv/20171102.txt

ソリューション

opensslパッケージをアップグレードしてください。

旧安定版（oldstable）ディストリビューション (jessie) では、CVE-2017-3735は、バージョン1.0.1t-1+deb8u7で修正されています。旧安定版（oldstable）ディストリビューションは、CVE-2017-3736の影響を受けません。

安定版（stable）ディストリビューション（stretch）では、これらの問題はバージョン1.1.0f-3~deb9u1で修正されています。