Mandriva Linux セキュリティアドバイザリ：tor（MDVSA-2014:123）

high Nessus プラグイン ID 74481

Language:

概要

リモート Mandriva Linux ホストにセキュリティ更新がありません。

説明

更新済みの tor パッケージにより、以下の複数の脆弱性が修正されます：

0.2.4.20 より前の Tor は、OpenSSL 1.x が、Intel Sandy Bridge および Ivy Bridge プラットフォームの特定の HardwareAccel 設定とともに使用されるとき、リレー識別キーおよび非表示サービス識別キーのための乱数を適切に生成しないために、リモートの攻撃者が詳細不明なベクトルを介して、暗号保護メカニズムを容易にバイパスする可能性があります（CVE-2013-7295）。

バージョン 0.2.4.22 への更新で、これらの重要なセキュリティ問題が解決されます：

- 認証のために使用されるブロック認証署名キーは、OpenSSL のハートブリードバグに脆弱です（CVE-2014-0160）。

- メモリリークを修正します。この問題により、トークン化ステップ中にマイクロスクリプターの解析が失敗する可能性があります。

- 現在、リレー暗号スイートリストは、統一されている基準に沿って自動的に生成され、許容可能な強度と前方秘匿性のあるすべての OpenSSL 暗号スイートを含んでいます。

- リレーはそれ自体を信頼し、 TLS 暗号スイートが他よりも優れるクライアントよりも高度なビューを提供します。

- クライアントは、Firefox 28 と同じ暗号スイートのリストをアドバタイズしようとします。

他の変更については、Upstream 変更ログを参照してください