Mandriva Linux セキュリティアドバイザリ：stunnel（MDVSA-2015:096）

medium Nessus プラグイン ID 82349

Language:

概要

リモート Mandriva Linux ホストにセキュリティ更新がありません。

説明

更新済みの stunnel パッケージにより、セキュリティの脆弱性が修正されます：

通常のアプリケーションに SSL サポートを提供できるソケットラッパーである stunnel が、フォーク後に PRNG の（再）初期化を実行する方法に欠陥が見つかりました。新しい接続を承認する際、サーバーが fork を実行し、子プロセスはリクエストを処理します。openssl の RAND_bytes() 関数は、フォーク後のステータスをリセットしませんが、PRNG に時間の出力（NULL）をシードします。最も重大な結果として、 EC (ECDSA) 証明書または DSA 証明書を使用しているサーバーが、特定の状況で秘密鍵を漏洩する可能性があることが挙げられます（CVE-2014-0016）。

更新済みパッケージは、接続を処理するために新しいプロセスではなくスレッドを使用することにより、この問題を修正します。

パッケージのインストール時に pid ファイルのディレクトリが作成されない問題も修正されました。

現在、Mageia 4 に、FIPS SSL を使用しようとすると失敗する問題が存在します（mga#13124）。これは、fips = no を構成に追加することにより回避できます。