Debian DSA-2626-1:lighttpd - 複数の問題

medium Nessus プラグイン ID 64662
New! プラグインの深刻度には CVSS v3 が適用されるようになりました。

プラグインの深刻度は、デフォルトで CVSS v3 を使って計算されるように更新されました。プラグインに CVSS v3 スコアがない場合には、CVSS v2 を使って深刻度が計算されます。深刻度の表示設定は、[設定]のドロップダウンで切り替えができます。

概要

リモート Debian ホストに、セキュリティ更新がありません。

説明

TLS/SSL プロトコルで、いくつかの脆弱性が発見されました。この更新では、lighttpd でこれらのプロトコルの脆弱性に対処しています。

- CVE-2009-3555 Marsh Ray 氏、Steve Dispensa 氏、および Martin Rex 氏は、TLS プロトコルおよび SSLv3 プロトコルが、再ネゴシエーションのハンドシェイクを既存の接続に適切に関連付けていないことを発見しました。これにより、中間攻撃者は、データを HTTPS セッションに挿入する可能性があります。この問題は、クライアント主導の再ネゴシエーションをデフォルトで無効にすることで、lighttpd で解決されています。

このような再ネゴシエーションを実際に必要としないユーザーは、新しい「ssl.disable-client-renegotiation」パラメーターにより、これらを有効に戻すことができます。

- CVE-2012-4929 Juliano Rizzo 氏および Thai Duong 氏は、圧縮を使用する際に、TLS/SSL プロトコルに弱点があることを発見しました。dubbed'CRIME' というこのサイドチャネル攻撃により、プロトコルの元の平文のリカバリを行うための情報を盗聴者が収集することが可能です。この更新では、圧縮を無効にしています。

ソリューション

lighttpd パッケージをアップグレードしてください。

安定版(stable)ディストリビューション(squeeze)では、これらの問題はバージョン 1.4.28-2+squeeze1.2 で修正されています。

関連情報

https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=700399

https://security-tracker.debian.org/tracker/CVE-2009-3555

https://security-tracker.debian.org/tracker/CVE-2012-4929

https://packages.debian.org/source/squeeze/lighttpd

https://www.debian.org/security/2013/dsa-2626

プラグインの詳細

深刻度: Medium

ID: 64662

ファイル名: debian_DSA-2626.nasl

バージョン: 1.10

タイプ: local

エージェント: unix

公開日: 2013/2/18

更新日: 2021/1/11

依存関係: ssh_get_info.nasl

リスク情報

VPR

リスクファクター: Medium

スコア: 6

CVSS v2

リスクファクター: Medium

Base Score: 5.8

Temporal Score: 4.5

ベクトル: AV:N/AC:M/Au:N/C:N/I:P/A:P

現状ベクトル: E:POC/RL:OF/RC:C

脆弱性情報

CPE: p-cpe:/a:debian:debian_linux:lighttpd, cpe:/o:debian:debian_linux:6.0

必要な KB アイテム: Host/local_checks_enabled, Host/Debian/release, Host/Debian/dpkg-l

エクスプロイトが利用可能: true

エクスプロイトの容易さ: Exploits are available

パッチ公開日: 2013/2/17

参照情報

CVE: CVE-2009-3555, CVE-2012-4929

BID: 36935, 55704

DSA: 2626

CWE: 310