Debian および Ubuntu システム上の OpenSSL で使用される乱数発生器に、脆弱性が見つかりました。この脆弱性の結果、特定の暗号化キーが不適切に一般化し、これによって攻撃者は、システムに関する最小限の情報を得ることでブルートフォース攻撃を介してキーを推測できる可能性があります。これは、OpenSSH、OpenVPN および SSL 証明書の暗号化キーを使用する場合に、特に影響を与えます。

この脆弱性は、Debian ベースのオペレーティングシステム（Ubuntu など）にのみ影響を与えます。ただしその他のシステムは、脆弱なキーがインポートされることで間接的に影響を受ける可能性があります。

この非常に深刻な脆弱性を考慮し、ユーザーは速やかな措置を取り、システムを保護する必要があります。(CVE-2008-0166)

== 影響範囲 ==

次のリリースのいずれかを実行しているシステム：

* Ubuntu 7.04（Feisty）* Ubuntu 7.10（Gutsy）* Ubuntu 8.04 LTS（Hardy）
* Ubuntu「Intrepid Ibex」（開発）：libssl <= 0.9.8g-8 * Debian 4.0（etch）（対応する Debian セキュリティアドバイザリを参照してください）

および、openssh-server をインストールしている、または OpenSSH 鍵または X.509（SSL）証明書を作成するために使用されていた。

これらのシステム上で生成されたすべての OpenSSH および X.509 鍵は、それが使用されているシステムにかかわらず、また更新が適用された後であっても、信頼できないと判断されなければなりません。

これには、OpenSSH によって使用される自動生成されたホストキーが含まれます。これは、サーバーのなりすましや中間者保護のベースになります。

検出

Ubuntu 7.04 / 7.10 / 8.04 LTS：openssl の脆弱性（USN-612-1）

high Nessus プラグイン ID 65108

変更ログが見つかりません