Debian DSA-2798-1：curl - 未チェックの ssl 証明書のホスト名

medium Nessus プラグイン ID 70985

Language:

概要

リモート Debian ホストに、セキュリティ更新がありません。

説明

Scott Cantor が、ファイル取得ツールである curl により、 CURLOPT_SSL_VERIFYPEER 設定が無効な場合に、 CURLOPT_SSLVERIFYHOST チェックが無効になることを、見つけました。また、これは、ssl 証明書トラストチェーンの検証のみを無効にしておくべきであったにもかかわらず、ssl 証明書のホスト名のチェックも無効にする場合があります。

CURLOPT_SSLVERIFYPEER はデフォルトで有効なため、curl パッケージのデフォルトの構成は、この問題の影響を受けません。

ソリューション

curl パッケージをアップグレードしてください。

旧安定版（oldstable）ディストリビューション（squeeze）では、この問題はバージョン 7.21.0-2.1+squeeze5 で修正されています。

安定版（stable）ディストリビューション（wheezy）では、この問題はバージョン 7.26.0-1+wheezy5 で修正されています。