OpenSSL に複数の脆弱性が発見され、修正されました。

ECDHE_ECDSA 暗号化パッケージに楕円曲線デジタル署名アルゴリズム（ECDSA）が使用されるとき、OpenSSL 1.0.0d およびそれ以前の楕円曲線暗号（ECC）サブシステムがバイナリフィールドのカーブをきちんと実装せず、コンテキスト依存の攻撃者がタイミング攻撃と情報フローに関する格子計算でプライベートキーを判断しやすくなります（CVE-2011-1945）。

1.0.0e より前の 1.0.x の OpenSSL の crypto/x509/x509_vfy.c は、特定の構造メンバーを初期化しません。これにより、リモートの攻撃者が、過去の時間に対応する nextUpdate 値を使用することで、CRL 検証をバイパスすることがより簡単になります（CVE-2011-3207）。

0.9.8 ～ 0.9.8s および 1.0.0e より前の 1.0.x の OpenSSL のエフェメラル ECDH 暗号スイート機能は、ハンドシェイクメッセージの処理中のスレッド安全性を保証しません。これにより、リモートの攻撃者が、TLS プロトコルに違反する順序の狂ったメッセージを通じて、サービス拒否（アプリケーションクラッシュ）を引き起こすことが可能です（CVE-2011-3210）。

2009.0 用のパッケージは、拡張メンテナンスプログラム以降に提供されます。詳細については、以下のサイトにアクセスしてください：
http://store.mandriva.com/product_info.php?cPath=149 products_id=490

更新パッケージには、これらの問題を修正するため、パッチが適用されています。

検出

Mandriva Linux セキュリティアドバイザリ：openssl（MDVSA-2011: 137）

medium Nessus プラグイン ID 56325

変更ログが見つかりません