OpenSSL に複数の脆弱性が発見され、修正されました。

OpenSSL に TLS_FALLBACK_SCSV に対するサポートが追加され、プロトコルダウングレードを強制的に実行する MITM 攻撃者の能力をアプリケーションがブロックすることができます。一部のクライアントアプリケーション（ブラウザなど）は、ダウングレードされたプロトコルを使用して再接続し、古いサーバーの相互運用性のバグを回避します。アクティブな中間者によりこれが悪用され、接続の両側が高いプロトコルをサポートしているにもかかわらず、接続が SSL 3.0 までダウングレードされる可能性があります。SSL 3.0 には、POODLE を含めて多数の脆弱性があります（CVE-2014-3566）。

OpenSSL SSL/TLS/DTLS サーバーがセッションチケットを受信した場合、このチケットの整合性が最初に検証されます。セッションチケットの整合性チェックが失敗した場合、OpenSSL がメモリの解放に失敗し、これによりメモリ漏洩が引き起こされます。多数の無効なセッションチケットを送信することにより、攻撃者がこの問題を　DoS 攻撃（サービス拒否攻撃）に悪用する可能性があります（CVE-2014-3567）。

更新済みパッケージが、これらのセキュリティ上の欠陥が修正された 1.0.0o バージョンにアップグレードされています。

検出

Mandriva Linux セキュリティアドバイザリ：openssl（MDVSA-2014:203）

high Nessus プラグイン ID 78665

バージョン 1.19