Debian DSA-2908-1：openssl - セキュリティ更新

medium Nessus プラグイン ID 73599

Language:

概要

リモート Debian ホストに、セキュリティ更新がありません。

説明

OpenSSL に複数の脆弱性が発見されました。以下の Common Vulnerabilities and Exposures プロジェクト ID でこれらを識別しています：

- CVE-2010-5298 後で使用されるデータをまだ含んでいるときに、読み取りバッファが解放されて、use-after-free が発生する可能性があります。
マルチスレッドアプリケーションに競合状態がある場合、攻撃者がある接続から他の接続にデータを注入したり、サービス拒否を引き起こしたりする可能性があります。

- CVE-2014-0076 ECDSA nonce は、Yarom/Benger FLUSH+RELOAD キャッシュサイドチャネル攻撃で回復される可能性があります。

第 3 の問題は、CVE ID がない場合、特定のケースで TSA 拡張鍵使用のための「critical」フラグの検出がないことです。

さらに、この更新はより多くのサービスをチェックするために、libssl のアップグレード後に再起動する必要が起こる場合もありますが、apache2 および postgresql の検出を修正し、「libraries/restart-without-asking」debconf 構成のサポートを追加します。このため、プロンプトなしにアップグレードでサービスが再起動します。

旧安定版（oldstable）ディストリビューション（squeeze）は CVE-2010-5298 に影響を受けないため、残りの脆弱性に対処するために後日更新されます。