OpenSSL が、さまざまなセキュリティの問題を修正するために更新されました。

以下のセキュリティの問題が修正されました。

- CVE-2015-0209：d2i_ECPrivatekey エラーの後に発生する use-after-free が修正されています。この問題により、攻撃者が用意する楕円曲線鍵のクラッシュが引き起こされる可能性があります。これは、クライアントが用意した鍵により SSL 接続で悪用される可能性があります。

- CVE-2015-0286：攻撃者がクライアント認証の使用時などに悪用できる
 ASN1_TYPE_cmp でのセグメンテーション違反が修正されました。これが、SSL 接続で悪用される可能性があります。

- CVE-2015-0287：ASN.1 構造体の再利用でのメモリ破損が修正されました。この問題は、通常の SSL 接続では悪用できません。特定のクライアントプログラムが特定の ASN.1 ルーチンを使用する場合のみ悪用可能です。

- CVE-2015-0288：クラッシュを引き起こす可能性がある、 X509_to_X509_REQ の NULL ポインターデリファレンスが修正されました。この関数は一般的に使用されず、SSL メソッドで到達できるものではありません。

- CVE-2015-0289：PKCS7 API を使用するプログラムをクラッシュさせる可能性がある、PKCS7 のいくつかの NULL ポインターデリファレンスが修正されました。SSL API はデフォルトでこれらを使用していません。

- CVE-2015-0293：到達可能なアサートによる SSLv2 サーバーでのサービス拒否を利用することで、リモートの攻撃者が、サーバープロセスを終了させる可能性があります。ただし、これには SSLv2 の許可が必要で、デフォルトでは設定されていません。

検出

openSUSE セキュリティ更新：openssl（openSUSE-2015-247）

medium Nessus プラグイン ID 81995

変更ログが見つかりません