Debian DSA-1916-1：kdelibs - 不十分な入力検証

high Nessus プラグイン ID 44781

Language:

概要

リモート Debian ホストに、セキュリティ更新がありません。

説明

Dan Kaminsky 氏および Moxie Marlinspike 氏は、公式 KDE リリースからのコアライブラリである kdelibs が、Subject Alternative Name フィールドの X.509　証明書で、ドメイン名にある「\0」文字を適切に処理していないことを発見しました。これにより、中間者攻撃を行う攻撃者が、正当な証明機関が発行した細工された証明書を使用して、任意の SSL サーバーに偽装する可能性があります。

ソリューション

kdelibs パッケージをアップグレードしてください。

旧安定版（oldstable）ディストリビューション（etch）では、この問題は、バージョン 4:3.5.5a.dfsg.1-8etch3 で修正されています。

アーカイブシステムのバグにより、安定版（stable）ディストリビューション（lenny）の修正が利用可能になると、バージョン 4:3.5.10.dfsg.1-0lenny3 としてリリースされます。