Debian DSA-1869-1：curl - 不充分な入力検証

high Nessus プラグイン ID 44734

Language:

概要

リモート Debian ホストに、セキュリティ更新がありません。

説明

HTTP、HTTPS または FTP を使用するサーバーからファイルを入手するためのクライアントおよびライブラリである curl が、Blackhat 会議で最近発表された「SSL/TLS 証明書に対する NULL プレフィックス攻撃」に脆弱であることが判明しました。これにより、攻撃者は、共通名フィールドに null バイトが注入されている細工された ITU-T X.509 証明書を通じて、検出されていない中間者攻撃を仕掛けることができます。

ソリューション

curl パッケージをアップグレードしてください。

旧安定版（oldstable）ディストリビューション（etch）では、この問題は、バージョン 7.15.5-1etch3 で修正済みです。

安定版（stable）ディストリビューション（lenny）では、この問題はバージョン 7.18.2-8lenny3 で修正されています。