Debian DSA-3413-1：openssl - セキュリティ更新

high Nessus プラグイン ID 87212

Language:

概要

リモート Debian ホストに、セキュリティ更新がありません。

説明

Secure Sockets Layer のツールキットである OpenSSL で、多数の脆弱性が発見されています。Common Vulnerabilities and Exposures プロジェクトでは、次の問題を特定しています：

- CVE-2015-3194 Qnective AG の Loic Jonas Etienne 氏は、マスク生成関数パラメーターの欠如した RSA PSS アルゴリズムを使用する ASN.1 署名が提示された場合、NULL ポインターデリファレンスによる署名認証ルーチンのクラッシュが発生することを発見しました。リモートの攻撃者がこの欠陥を悪用して、証明書認証操作をクラッシュさせ、DoS 攻撃（サービス拒否攻撃）を仕掛ける可能性があります。

- CVE-2015-3195 Google/BoringSSL の Adam Langley 氏は、誤った形式の X509_ATTRIBUTE 構造により、OpenSSL にメモリ漏洩が発生することを発見しました。

- CVE-2015-3196 PSK identity hint の処理において競合状態が発生する欠陥が発見されました。これにより、identify hint データの二重解放が発生する可能性があります。

ソリューション

openssl パッケージをアップグレードしてください。

旧安定版（oldstable）ディストリビューション（wheezy）では、これらの問題はバージョン 1.0.1e-2+deb7u18 で修正されています。

安定版（stable）ディストリビューション（jessie）では、これらの問題はバージョン 1.0.1k-3+deb8u2 で修正されました。