この更新は、wheezy でバージョンをバックポートすることで、squeeze-lts 内の pound で特定の既知の脆弱性を修正します。

CVE-2009-3555 Microsoft Internet Information Services（IIS）7.0、Apache HTTP Server 2.2.14 以前での mod_ssl、0.9.8l より前の OpenSSL、GnuTLS 2.8.5 以前、Mozilla Network Security Services（NSS）3.12.4 以前、ならびに複数の Cisco 製品などで使用されている TLS プロトコルおよび SSL プロトコル 3.0（およびおそらくそれ以前）では、再ネゴシエーションのハンドシェイクを既存の接続と適切に関連付けしていません。これにより、中間者攻撃の攻撃者が、再ネゴシエーション後のコンテキストでサーバーにより遡及的に処理される認証されていないリクエストを送信することで、HTTPS セッションおよび TLS または SSL で保護された他のタイプのセッションにデータを挿入する可能性があります。これは、「平文インジェクション」攻撃（別名「Project Mogul」の問題）に関連しています。

CVE-2011-3389 Microsoft Windows、Microsoft Internet Explorer、Mozilla Firefox、Google Chrome、Opera などの製品において、特定の構成で使用されている SSL プロトコルでは、連鎖的な初期化ベクトルがある CBC モードを使用することで、データを暗号化しています。これにより、中間者攻撃の攻撃者が、HTTPS セッションでの blockwise chosen-boundary 攻撃（BCBA）を通じて、(1) HTML5 WebSocket API、(2) Java URLConnection API、または (3) Silverlight WebClient API を使用している JavaScript コードと共に、平文の HTTP ヘッダーを入手する可能性があります（別名「BEAST」攻撃）。

CVE-2012-4929 Mozilla Firefox、Google Chrome、Qt などの製品で使用されている TLS プロトコル 1.2 以前では、暗号化されていないデータの長さを適切に難読化せずに、圧縮されたデータを暗号化する可能性があります。これにより、中間者攻撃の攻撃者が、HTTP リクエストでの文字列が HTTP ヘッダーでの未知の文字列と一致する可能性があるという一連の推測をしながら、長さの違いを監視することで、平文の HTTP ヘッダーを入手する可能性があります（別名「CRIME」攻撃）。

CVE-2014-3566 1.0.1i までの OpenSSL などの製品で使用されている SSL プロトコル 3.0 では、非決定性の CBC パディングを使用しています。これにより、中間者攻撃の攻撃者が、パディングオラクル攻撃を通じて、平文データを入手しやすくなります（別名「POODLE」問題）。

注：Tenable Network Security は、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

検出

Debian DLA-400-1：pound セキュリティ更新（BEAST）（POODLE）

low Nessus プラグイン ID 88107

バージョン 2.20