DigiNotar 認証局により発行された虚偽の複数の SSL 証明書が野放しで見つかっており、これは同企業のセキュリティ侵害により取得されています。この事象に関するさらなる更新情報の後で、DigiNotar の署名証明書はすべてもはや信頼されないと決定されました。Debian は、他のソフトウェア配布業者およびベンダーと同様に、DigiNotar の CA を信頼できないことに決定しました。この更新では、これは、こうした証明書を破棄済みとマーク付することで、crypto ライブラリ（OpenSSL ツールキットのコンポーネント）により実施されます。前述のコンポーネントを使用するあらゆるアプリケーションは、DigiNotar により署名された証明書を今では拒否するはずです。個別のアプリケーションで、ユーザーが検証失敗をオーバーライドできる可能性があります。しかしながら、例外的な操作はまったく推奨されず、慎重に検証するべきです。

さらに、ECDHE_ECDS 暗号で脆弱性が見つかっており、タイミング攻撃により秘密鍵の判断が簡単になりました。Common Vulnerabilities and Exposures プロジェクトでは、これを CVE-2011-1945 に指定しています。

検出

Debian DSA-2309-1：openssl - 侵害された認証局

low Nessus プラグイン ID 56179

変更ログが見つかりません