[Date Prev][Date Next][Thread Prev][Thread Next][Date Index][Thread Index]
[debian-users:47458] [Translate] [SECURITY] [DSA 1195-1] new openssl096 packages fix denial of service
かねこです。
URL 等は Debian-security-announce メーリングリストの元記事を確認
ください。
------>8------------>8------------>8------------>8------------>8-
- ------------------------------------------------------------------------
Debian Security Advisory DSA-1195-1 security@debian.org
http://www.debian.org/security/ Noah Meyerhans
October 10, 2006
- ------------------------------------------------------------------------
Package : openssl096
Vulnerability : サービス拒否攻撃 (複数)
Problem-Type : リモート
Debian-specific: いいえ
CVE ID : CVE-2006-2940 CVE-2006-3738 CVE-2006-4343
複数の欠陥が OpenSSL 暗号化パッケージに発見されました。この欠陥を攻撃す
ることにより、攻撃対象のシステムでシステムリソースを使い尽くすことや、
プロセスクラッシュによるサービス拒否攻撃が可能です。
CVE-2006-3738
Google Security Team の Tavis Ormandy さんと Will Drewry さんによ
り、SSL_get_shared_ciphers ユーティリティ関数にバッファオーバフロ
ーが発見されました。 この関数は、exim や mysql などのアプリケーシ
ョンでつかわれています。攻撃者は暗号のリストを送付することで、バ
ッファをオーバランさせることができます。
CVE-2006-4343
Google Security Team の Tavis Ormandy さんと Will Drewry さんによ
り、sslv2 クライアント攻撃にサービス拒否攻撃を許す欠陥が発見され
ました。クライアントアプリケーションが OpenSSL を用いて悪意を持っ
たサーバに sslv2 コネクションを張ろうとした場合、サーバからクライ
アントをクラッシュさせることが可能です。
CVE-2006-2940
OpenSSL コアチームおよび Open Network Security の Dr S N Henson
さんにより、NISCC (www.niscc.gov.uk) 向けの ASN1 テスト集が開発さ
れました。このテスト集を OpenSSL に対して実行したところ、サービス
拒否攻撃を許す欠陥が発見されました。
ある種の形式の公開鍵の処理に鍵長に対して非線形の処理時間が必要に
なるため、攻撃者がサービス拒否攻撃を引き起こすことが可能です。
安定版 (stable) ディストリビューション (sarge) では、これらの問題はバージ
ョン 0.9.6m-1sarge で修正されています。
このパッケージは古いソフトウェアとの互換性のために用意されているものであり、
不安定版 (unstable) およびテスト版 (testing) ディストリビューションには収
録されていません。
直ぐに openssl パッケージをアップグレードすることを勧めます。また、OpenSSL
共有ライブラリにリンクしているサービスの再起動が必要です。そのようなサービ
スの例として、メール転送エージェント (MTA), SSH サーバや Webサーバなどが上
げられます。
アップグレード手順
------------------
wget url
でファイルを取得できます。
dpkg -i file.deb
で参照されたファイルをインストールできます。
apt-get パッケージマネージャを用いている場合には、本メールのフッタ記載の
行を sources.list に加えて、
apt-get update
を実行して内部データベースを更新し、
apt-get upgrade
によって修正されたパッケージをインストールしてください。
本メールのフッタ記載の設定を自ホストの設定に加えることにより、自動更新を
行うこともできます。
Debian 3.1 (安定版 (stable) )
- -------------------
安定版の更新は、alpha, amd64, arm, hppa, i386, ia64, m68k, mips, mipsel,
powerpc, s390 および sparc の各アーキテクチャで提供されています。
ソースアーカイブ:
http://security.debian.org/pool/updates/main/o/openssl096/openssl096_0.9.6m-1sarge4.diff.gz
Size/MD5 checksum: 21115 9019caf796eb866f24d5949503b1cdb5
http://security.debian.org/pool/updates/main/o/openssl096/openssl096_0.9.6m.orig.tar.gz
Size/MD5 checksum: 2184918 1b63bfdca1c37837dddde9f1623498f9
http://security.debian.org/pool/updates/main/o/openssl096/openssl096_0.9.6m-1sarge4.dsc
Size/MD5 checksum: 617 7d60c6c3ecdf502734068ab2a8b32118
alpha architecture (DEC Alpha)
http://security.debian.org/pool/updates/main/o/openssl096/libssl0.9.6_0.9.6m-1sarge4_alpha.deb
Size/MD5 checksum: 1966534 9f78dcc0f9685641a7fc3d927370d819
amd64 architecture (AMD x86_64 (AMD64))
http://security.debian.org/pool/updates/main/o/openssl096/libssl0.9.6_0.9.6m-1sarge4_amd64.deb
Size/MD5 checksum: 578632 f1574a0058e85cb0e2c6cff996530c97
arm architecture (ARM)
http://security.debian.org/pool/updates/main/o/openssl096/libssl0.9.6_0.9.6m-1sarge4_arm.deb
Size/MD5 checksum: 519304 66fa4a65d803f0115dd80d5359944a2d
hppa architecture (HP PA RISC)
http://security.debian.org/pool/updates/main/o/openssl096/libssl0.9.6_0.9.6m-1sarge4_hppa.deb
Size/MD5 checksum: 587946 353d46f3351d5a19dfdaf22f605fc627
i386 architecture (Intel ia32)
http://security.debian.org/pool/updates/main/o/openssl096/libssl0.9.6_0.9.6m-1sarge4_i386.deb
Size/MD5 checksum: 1756270 2747688d91dfe1cd00430a74bdef6265
ia64 architecture (Intel ia64)
http://security.debian.org/pool/updates/main/o/openssl096/libssl0.9.6_0.9.6m-1sarge4_ia64.deb
Size/MD5 checksum: 815662 45a5b6503ed631149fea28b37a980e21
m68k architecture (Motorola Mc680x0)
http://security.debian.org/pool/updates/main/o/openssl096/libssl0.9.6_0.9.6m-1sarge4_m68k.deb
Size/MD5 checksum: 477288 da4ddff773fd7d6af0604363719b368a
mips architecture (MIPS (Big Endian))
http://security.debian.org/pool/updates/main/o/openssl096/libssl0.9.6_0.9.6m-1sarge4_mips.deb
Size/MD5 checksum: 577284 d2bf3c9d86dbba15bbb9d1cb93a6fc51
mipsel architecture (MIPS (Little Endian))
http://security.debian.org/pool/updates/main/o/openssl096/libssl0.9.6_0.9.6m-1sarge4_mipsel.deb
Size/MD5 checksum: 569246 75d69f033f833b7928a8ca521efb95ea
powerpc architecture (PowerPC)
http://security.debian.org/pool/updates/main/o/openssl096/libssl0.9.6_0.9.6m-1sarge4_powerpc.deb
Size/MD5 checksum: 582928 72be71aae8b781ca5a7b1d1b2e738541
s390 architecture (IBM S/390)
http://security.debian.org/pool/updates/main/o/openssl096/libssl0.9.6_0.9.6m-1sarge4_s390.deb
Size/MD5 checksum: 602874 e671b41d37d34b7d2055eaca112be269
sparc architecture (Sun SPARC/UltraSPARC)
http://security.debian.org/pool/updates/main/o/openssl096/libssl0.9.6_0.9.6m-1sarge4_sparc.deb
Size/MD5 checksum: 1460162 acfb3e17f005c32268fa1def17ea884b
これらのファイルは次の版の安定版リリース時そちらに移されます。
- ---------------------------------------------------------------------------------
For apt-get: deb http://security.debian.org/ stable/updates main
For dpkg-ftp: ftp://security.debian.org/debian-security dists/stable/updates/main
Mailing list: debian-security-announce@lists.debian.org
Package info: `apt-cache show <pkg>' and http://packages.debian.org/<pkg>
------>8------------>8------------>8------------>8------------>8-
--
Seiji Kaneko skaneko@xxxxxxxxxxxx
---------------------------------------------------------