Debian DSA-3436-1：openssl - セキュリティ更新（SLOTH）

medium Nessus プラグイン ID 87827

Language:

概要

リモート Debian ホストに、セキュリティ更新がありません。

説明

Karthikeyan Bhargavan 氏および INRIA の Gaetan Leurent 氏が、TLS ハンドシェイク中に MD5 ハッシュ関数が ServerKeyExchange およびクライアント認証パケットの署名に使用される恐れがある、TLS 1.2 プロトコルでの欠陥を見つけました。中間者攻撃者がこの欠陥を悪用し、 TLS サーバーや認証された TLS クライアントになりすますためのコリジョン攻撃を実行する恐れがあります。

詳細については、次の URL を参照してください。 https://www.mitls.org/pages/attacks/SLOTH

ソリューション

openssl パッケージをアップグレードしてください。

旧安定版（oldstable）ディストリビューション（wheezy）では、この問題はバージョン 1.0.1e-2+deb7u19 で修正されています。

安定版（stable）ディストリビューション（jessie）、テスト版（testing）ディストリビューション（stretch）、および不安定版（unstable）ディストリビューション（sid）では、この問題はバージョン 1.0.1f-1 で既に対処されています。