CentOS 5：openssl（CESA-2010:0054）

medium Nessus プラグイン ID 44097

Language:

概要

リモート CentOS ホストに１つ以上のセキュリティ更新がありません。

説明

2 つのセキュリティ問題を解決する更新済みの openssl パッケージが、 Red Hat Enterprise Linux 5.で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新は重要度中のセキュリティ影響があると評価しています。

OpenSSL は、Secure Sockets Layer（SSL v2/v3）および Transport Layer Security （TLS v1）プロトコル、ならびに全強度の汎用暗号化ライブラリを実装するツールキットです。

OpenSSL ライブラリは CRYPTO_cleanup_all_ex_data() 関数の前回の呼び出し後、SSL_library_init() 関数の内部状態を適切に再初期化せず、これによってその後の SSL 接続それぞれに対してメモリ漏洩が発生することが分かりました。この欠陥によって、 Apache HTTP Server、mod_ssl、PHP、および cURL の組み合わせなどの、リロード中にこれらの関数を呼び出すサーバーアプリケーションが使用可能なメモリを全て消費し、サービス拒否が発生することがあります。（CVE-2009-4355）

Dan Kaminsky 氏は、MD2 がもはや暗号強度の高いアルゴリズムとは見なせなくなった場合ですら、ブラウザが MD2 ハッシュッ署名付きの証明書を承認してしまうことを発見しました。これにより攻撃者は、悪意のある証明書を簡単に作成して、ブラウザにその証明書を信頼できるものとして処理させる場合があります。OpenSSL はデフォルトで、署名内の MD2 アルゴリズムを無効にするようになりました。（CVE-2009-2409）

OpenSSL の全ユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を解決する必要があります。更新を有効にするには、 OpenSSL ライブラリにリンクされているすべてのサービスを再起動するか、システムを再起動する必要があります。