[debian-users:55074] [Translate] [SECURITY] [DSA 2197-1] quagga security update

[Seiji Kaneko <skaneko@xxxxxxxxxxxx>]

かねこです。
URL 等は Debian-security-announce メーリングリストの元記事を確認
ください。

------>8------------>8------------>8------------>8------------>8-
- -------------------------------------------------------------------------
Debian Security Advisory DSA-2197-1                   security@debian.org
http://www.debian.org/security/                            Florian Weimer
March 21, 2011                         http://www.debian.org/security/faq
- -------------------------------------------------------------------------

Package        : quagga
Vulnerability  : サービス拒否攻撃
Problem type   : リモート
Debian-specific: いいえ
CVE ID         : CVE-2010-1674 CVE-2010-1675

Quagga ラウティングデーモンの BGP 実装に、二つのサービス拒否攻撃に繋が
る欠陥が発見されました。

CVE-2010-1674
	細工した拡張コミュニティ属性により、NULL ポインタ参照が引き起
	こされ、BGP デーモンがクラッシュします。細工された属性がインタ
	ーネット側に伝播されることはないため、普通の設定下では明示的に
	設定した直結のピアからのみ本欠陥を攻撃可能です。

CVE-2010-1675
	BGP デーモンは、不正な AS_PATHLIMIT 属性に対して BGP セッショ
	ンをリセットします。これは、分散 BGP リセットを許す脆弱性であ
	り、パケット転送を妨害します。このような不正な属性はインターネ
	ットコア側に伝播可能であり、この欠陥の攻撃は直接設定された BGP
	ピアに制限されることはありません。

このセキュリティ更新では、BGP 実装から AS_PATHLIMIT 処理を削除し、後方
互換性のため設定文による指定のみそのままにしています (この BGP 拡張機
能の標準化はかなり以前に放棄されています)。

旧安定版 (oldstable) ディストリビューション (lenny) では、これらの問題
はバージョン 0.99.10-1lenny5 で修正されています。

安定版 (stable) ディストリビューション (squeeze) では、これらの問題は
バージョン 0.99.17-2+squeeze2 で修正されています。

テスト版 (wheezy) および不安定版 (unstable) ディストリビューションで
は、この問題は近く修正予定です。

直ぐに quagga パッケージをアップグレードすることを勧めます。

Debian Security Advisories に関する説明、これらの更新をシステムに適用
する方法、FAQ などは http://www.debian.org/security/ を参照ください。

Mailing list: debian-security-announce@lists.debian.org
------>8------------>8------------>8------------>8------------>8-
-- 
Seiji Kaneko                         skaneko@xxxxxxxxxxxx
---------------------------------------------------------