[Date Prev][Date Next][Thread Prev][Thread Next][Date Index][Thread Index]

[debian-users:56515] [Translate] [SECURITY] [DSA 2548-1] tor security update

くぼです。
URL 等は Debian-security-announce メーリングリストの元記事を
確認ください
------>8------------>8------------>8------------>8------------>8-

- -------------------------------------------------------------------------
Debian Security Advisory DSA-2548-1                   security@debian.org
http://www.debian.org/security/                        Moritz Muehlenhoff
September 13, 2012                     http://www.debian.org/security/faq
- -------------------------------------------------------------------------

Package        : tor
Vulnerability  : 複数
Problem type   : リモート
Debian-specific: いいえ
CVE ID         : CVE-2012-3518 CVE-2012-3519 CVE-2012-4419

オンライン個人情報保護ツールの Tor に複数の脆弱性が見つかりました。

CVE-2012-3518

  解釈できないフレーバー名を持つ投票あるいは総意の文書を読む際に初期化さ
  れていないメモリを読むことを回避しました。これは、サービス拒否を引き起
  こすことになる遠隔での異常終了に繋がる可能性がありました。

CVE-2012-3519

  クライアントがどのリレーを選んでいるか、についての情報が隣接チャンネル
  攻撃によって攻撃者へ漏洩するのを少なくするようにしました。

CVE-2012-4419

  攻撃者は狙いを付けた tor インスタンスへ特別に細工を施した日付の文字列を
  送りつけることで，アサーション※の中に処理を進めさせてインスタンスを終了
  させることができます。

これらに加えて，安定版では次に掲げる修正も更新版に含まれます。
- - クライアントが通信の前手順をやり直すのを待つ間，入力バッファにデータを
    何も受け入れないようにしました。この修正で，潜在的なサービス拒否の問題
    を解決しています [tor-5934, tor-6007]。

安定版 (stable) ディストリビューション (squeeze) では、これらの問題はバー
ジョン 0.2.2.39-1 で修正されています。

不安定版 (unstable) ディストリビューション (sid) では、この問題はバージョ
ン 0.2.3.22-rc-1 で修正されています。

直ぐに tor パッケージをアップグレードすることを勧めます。

Debian Security Advisories に関する説明、これらの更新をシステムに適用
する方法、FAQ などは http://www.debian.org/security/ を参照ください。

Mailing list: debian-security-announce@lists.debian.org
------>8------------>8------------>8------------>8------------>8-

※訳注）アサーションは、プログラム設計上プログラムの特定の箇所で
必ず真になるはずの条件式をその箇所に埋め込んでおき、もしも実行時
に偽になった場合はプログラムを異常終了させるなどして、実装の不具合
を検知する処理。

---
久保博 <h-kubo@xxxxxxxxxxxx>