Debian DSA-2626-1：lighttpd - 複数の問題

medium Nessus プラグイン ID 64662

Language:

概要

リモート Debian ホストに、セキュリティ更新がありません。

説明

TLS/SSL プロトコルで、いくつかの脆弱性が発見されました。この更新では、lighttpd でこれらのプロトコルの脆弱性に対処しています。

- CVE-2009-3555 Marsh Ray 氏、Steve Dispensa 氏、および Martin Rex 氏は、TLS プロトコルおよび SSLv3 プロトコルが、再ネゴシエーションのハンドシェイクを既存の接続に適切に関連付けていないことを発見しました。これにより、中間攻撃者は、データを HTTPS セッションに挿入する可能性があります。この問題は、クライアント主導の再ネゴシエーションをデフォルトで無効にすることで、lighttpd で解決されています。

このような再ネゴシエーションを実際に必要としないユーザーは、新しい「ssl.disable-client-renegotiation」パラメーターにより、これらを有効に戻すことができます。

- CVE-2012-4929 Juliano Rizzo 氏および Thai Duong 氏は、圧縮を使用する際に、TLS/SSL プロトコルに弱点があることを発見しました。dubbed'CRIME' というこのサイドチャネル攻撃により、プロトコルの元の平文のリカバリを行うための情報を盗聴者が収集することが可能です。この更新では、圧縮を無効にしています。