[Date Prev][Date Next][Thread Prev][Thread Next][Date Index][Thread Index]

[debian-users:47458] [Translate] [SECURITY] [DSA 1195-1] new openssl096 packages fix denial of service



かねこです。
URL 等は Debian-security-announce メーリングリストの元記事を確認
ください。

------>8------------>8------------>8------------>8------------>8-
- ------------------------------------------------------------------------
Debian Security Advisory DSA-1195-1                security@debian.org
http://www.debian.org/security/                         Noah Meyerhans
October 10, 2006
- ------------------------------------------------------------------------

Package        : openssl096
Vulnerability  : サービス拒否攻撃 (複数)
Problem-Type   : リモート
Debian-specific: いいえ
CVE ID         : CVE-2006-2940 CVE-2006-3738 CVE-2006-4343

複数の欠陥が OpenSSL 暗号化パッケージに発見されました。この欠陥を攻撃す
ることにより、攻撃対象のシステムでシステムリソースを使い尽くすことや、
プロセスクラッシュによるサービス拒否攻撃が可能です。

CVE-2006-3738
	Google Security Team の Tavis Ormandy さんと Will Drewry さんによ
	り、SSL_get_shared_ciphers ユーティリティ関数にバッファオーバフロ
	ーが発見されました。 この関数は、exim や mysql などのアプリケーシ
	ョンでつかわれています。攻撃者は暗号のリストを送付することで、バ
	ッファをオーバランさせることができます。

CVE-2006-4343
	Google Security Team の Tavis Ormandy さんと Will Drewry さんによ
	り、sslv2 クライアント攻撃にサービス拒否攻撃を許す欠陥が発見され
	ました。クライアントアプリケーションが OpenSSL を用いて悪意を持っ
	たサーバに sslv2 コネクションを張ろうとした場合、サーバからクライ
	アントをクラッシュさせることが可能です。


CVE-2006-2940
	OpenSSL コアチームおよび Open Network Security の Dr S N Henson
	さんにより、NISCC (www.niscc.gov.uk) 向けの ASN1 テスト集が開発さ
	れました。このテスト集を OpenSSL に対して実行したところ、サービス
	拒否攻撃を許す欠陥が発見されました。

	ある種の形式の公開鍵の処理に鍵長に対して非線形の処理時間が必要に
	なるため、攻撃者がサービス拒否攻撃を引き起こすことが可能です。
	

安定版  (stable) ディストリビューション (sarge) では、これらの問題はバージ
ョン 0.9.6m-1sarge で修正されています。

このパッケージは古いソフトウェアとの互換性のために用意されているものであり、
不安定版 (unstable) およびテスト版 (testing) ディストリビューションには収
録されていません。

直ぐに openssl パッケージをアップグレードすることを勧めます。また、OpenSSL
共有ライブラリにリンクしているサービスの再起動が必要です。そのようなサービ
スの例として、メール転送エージェント (MTA), SSH サーバや Webサーバなどが上
げられます。


アップグレード手順
------------------

wget url
        	でファイルを取得できます。
dpkg -i file.deb
                で参照されたファイルをインストールできます。

apt-get パッケージマネージャを用いている場合には、本メールのフッタ記載の
行を sources.list に加えて、

apt-get update
        を実行して内部データベースを更新し、
apt-get upgrade
        によって修正されたパッケージをインストールしてください。

本メールのフッタ記載の設定を自ホストの設定に加えることにより、自動更新を
行うこともできます。


Debian 3.1 (安定版 (stable) )
- -------------------

安定版の更新は、alpha, amd64, arm, hppa, i386, ia64, m68k, mips, mipsel,
powerpc, s390 および sparc の各アーキテクチャで提供されています。

ソースアーカイブ:

  http://security.debian.org/pool/updates/main/o/openssl096/openssl096_0.9.6m-1sarge4.diff.gz
    Size/MD5 checksum:    21115 9019caf796eb866f24d5949503b1cdb5
  http://security.debian.org/pool/updates/main/o/openssl096/openssl096_0.9.6m.orig.tar.gz
    Size/MD5 checksum:  2184918 1b63bfdca1c37837dddde9f1623498f9
  http://security.debian.org/pool/updates/main/o/openssl096/openssl096_0.9.6m-1sarge4.dsc
    Size/MD5 checksum:      617 7d60c6c3ecdf502734068ab2a8b32118

alpha architecture (DEC Alpha)

  http://security.debian.org/pool/updates/main/o/openssl096/libssl0.9.6_0.9.6m-1sarge4_alpha.deb
    Size/MD5 checksum:  1966534 9f78dcc0f9685641a7fc3d927370d819

amd64 architecture (AMD x86_64 (AMD64))

  http://security.debian.org/pool/updates/main/o/openssl096/libssl0.9.6_0.9.6m-1sarge4_amd64.deb
    Size/MD5 checksum:   578632 f1574a0058e85cb0e2c6cff996530c97

arm architecture (ARM)

  http://security.debian.org/pool/updates/main/o/openssl096/libssl0.9.6_0.9.6m-1sarge4_arm.deb
    Size/MD5 checksum:   519304 66fa4a65d803f0115dd80d5359944a2d

hppa architecture (HP PA RISC)

  http://security.debian.org/pool/updates/main/o/openssl096/libssl0.9.6_0.9.6m-1sarge4_hppa.deb
    Size/MD5 checksum:   587946 353d46f3351d5a19dfdaf22f605fc627

i386 architecture (Intel ia32)

  http://security.debian.org/pool/updates/main/o/openssl096/libssl0.9.6_0.9.6m-1sarge4_i386.deb
    Size/MD5 checksum:  1756270 2747688d91dfe1cd00430a74bdef6265

ia64 architecture (Intel ia64)

  http://security.debian.org/pool/updates/main/o/openssl096/libssl0.9.6_0.9.6m-1sarge4_ia64.deb
    Size/MD5 checksum:   815662 45a5b6503ed631149fea28b37a980e21

m68k architecture (Motorola Mc680x0)

  http://security.debian.org/pool/updates/main/o/openssl096/libssl0.9.6_0.9.6m-1sarge4_m68k.deb
    Size/MD5 checksum:   477288 da4ddff773fd7d6af0604363719b368a

mips architecture (MIPS (Big Endian))

  http://security.debian.org/pool/updates/main/o/openssl096/libssl0.9.6_0.9.6m-1sarge4_mips.deb
    Size/MD5 checksum:   577284 d2bf3c9d86dbba15bbb9d1cb93a6fc51

mipsel architecture (MIPS (Little Endian))

  http://security.debian.org/pool/updates/main/o/openssl096/libssl0.9.6_0.9.6m-1sarge4_mipsel.deb
    Size/MD5 checksum:   569246 75d69f033f833b7928a8ca521efb95ea

powerpc architecture (PowerPC)

  http://security.debian.org/pool/updates/main/o/openssl096/libssl0.9.6_0.9.6m-1sarge4_powerpc.deb
    Size/MD5 checksum:   582928 72be71aae8b781ca5a7b1d1b2e738541

s390 architecture (IBM S/390)

  http://security.debian.org/pool/updates/main/o/openssl096/libssl0.9.6_0.9.6m-1sarge4_s390.deb
    Size/MD5 checksum:   602874 e671b41d37d34b7d2055eaca112be269

sparc architecture (Sun SPARC/UltraSPARC)

  http://security.debian.org/pool/updates/main/o/openssl096/libssl0.9.6_0.9.6m-1sarge4_sparc.deb
    Size/MD5 checksum:  1460162 acfb3e17f005c32268fa1def17ea884b


  これらのファイルは次の版の安定版リリース時そちらに移されます。


- ---------------------------------------------------------------------------------
For apt-get: deb http://security.debian.org/ stable/updates main
For dpkg-ftp: ftp://security.debian.org/debian-security dists/stable/updates/main
Mailing list: debian-security-announce@lists.debian.org
Package info: `apt-cache show <pkg>' and http://packages.debian.org/<pkg>
------>8------------>8------------>8------------>8------------>8-
-- 
Seiji Kaneko                         skaneko@xxxxxxxxxxxx
---------------------------------------------------------