Debian DSA-2782-1：polarssl - 複数の脆弱性

medium Nessus プラグイン ID 70533

Language:

概要

リモート Debian ホストに、セキュリティ更新がありません。

説明

軽量な暗号と SSL/TLS ライブラリである PolarSSL で、複数のセキュリティの問題が発見されました：

- CVE-2013-4623 Jack Lloyd 氏は、PEM エンコードの証明書を解析する際にサービス拒否の脆弱性があることを発見しました。

- CVE-2013-5914 Paul Brodeur 氏と TrustInSoft は、ssl_read_record() 関数でバッファオーバーフローがあることをを発見しました。これにより、任意のコードが実行される可能性があります。

- CVE-2013-5915 Cyril Arnaud 氏と Pierre-Alain Fouque 氏は、RSA 実装でタイミング攻撃が発生することを発見しました。

ソリューション

polarssl パッケージをアップグレードしてください。

旧安定版（oldstable）ディストリビューション（squeeze）では、これらの問題がバージョン 1.2.9-1~deb6u1 でまもなく修正されます（技術制限により、更新を同時にリリースできません）。

安定版（stable）ディストリビューション（wheezy）では、これらの問題はバージョン 1.2.9-1+deb7u1 で修正されています。