openssl で複数の脆弱性が発見され、修正されました：

OpenSSL 1.0.0 Beta 2 において、dtls1_retrieve_buffered_fragment 関数にある use-after-free の脆弱性により、リモートの攻撃者がサービス拒否（openssl s_client のクラッシュ）を引き起こしたり、DTLS パケットを通じてその他の詳細不明の影響を及ぼしたりする可能性があります。これは、細工されたサーバー証明書を使用するサーバーからのパケットによって実証されています（CVE-2009-1379）。

1.0.0 Beta 2 より前の OpenSSL において、ssl/d1_both.c にある dtls1_retrieve_buffered_fragment 関数により、リモートの攻撃者が、フラグメントバグに関連した、順序が誤った DTLS ハンドシェイクメッセージを介して、サービス拒否（NULL ポインターデリファレンスとデーモンクラッシュ）を引き起こすことが可能です。
（CVE-2009-1387）

Firefox で使用されている 3.12.3 より前の NSS ライブラリ、2.6.4 および 2.7.4 より前の GnuTLS、OpenSSL 0.9.8 ～ 0.9.8k、およびその他の製品は、X.509 証明書で MD2 をサポートしています。これにより、リモートの攻撃者が、MD2 の設計欠陥を利用して証明書を偽装し、ブルートフォースより短い時間でハッシュ衝突を引き起こす可能性があります。注：必要な計算量が依然として膨大であるため、この問題の範囲は現在制限されています（CVE-2009-2409）。

この更新は、これらの脆弱性のソリューションを提供します。

検出

Mandriva Linux セキュリティアドバイザリ：openssl（MDVSA-2009:239）

medium Nessus プラグイン ID 48153

変更ログが見つかりません