Debian DSA-2309-1：openssl - 侵害された認証局

low Nessus プラグイン ID 56179

Language:

概要

リモートのDebianホストにセキュリティ関連の更新プログラムがありません。

説明

DigiNotar 認証局により発行された虚偽の複数の SSL 証明書が野放しで見つかっており、これは同企業のセキュリティ侵害により取得されています。この事象に関するさらなる更新情報の後で、DigiNotar の署名証明書はすべてもはや信頼されないと決定されました。Debian は、他のソフトウェア配布業者およびベンダーと同様に、DigiNotar の CA を信頼できないことに決定しました。この更新では、これは、こうした証明書を破棄済みとマーク付することで、crypto ライブラリ（OpenSSL ツールキットのコンポーネント）により実施されます。前述のコンポーネントを使用するあらゆるアプリケーションは、DigiNotar により署名された証明書を今では拒否するはずです。個別のアプリケーションで、ユーザーが検証失敗をオーバーライドできる可能性があります。しかしながら、例外的な操作はまったく推奨されず、慎重に検証するべきです。

さらに、ECDHE_ECDS 暗号で脆弱性が見つかっており、タイミング攻撃により秘密鍵の判断が簡単になりました。Common Vulnerabilities and Exposures プロジェクトでは、これを CVE-2011-1945 に指定しています。

ソリューション

opensslパッケージをアップグレードしてください。

旧安定版（oldstable）ディストリビューション（lenny）では、これらの問題はバージョン0.9.8g-15+lenny12で修正されました。

安定版（stable）ディストリビューション（squeeze）に対して、これらの問題はバージョン 0.9.8o-4squeeze2 で修正されています。