security/2006/dsa-1185.wml

[SUGIYAMA Tomoaki <tomos@xxxxxxxxxxxxxxxx>]

杉山です。

security/2006/dsa-1185.wml[1] の日本語訳版を debian-users:47338[2] の
かねこさん訳を参考に作業しました。査読をお願いします。

1. http://www.debian.org/security/2006/dsa-1185.en.html
2. http://lists.debian.or.jp/debian-users/200609/msg00160.html

＃あぁ，しかし DSA-1185-2[3] というのがあるんですね。
＃原文を更新しなければ駄目なのかも。

3. http://lists.debian.or.jp/debian-users/200610/msg00030.html

------------------------------------------------------------------
#use wml::debian::translation-check translation="1.2"
<define-tag description>サービス不能 (DoS) 攻撃</define-tag>
<define-tag moreinfo>
<p>複数の脆弱性が、暗号化パッケージ OpenSSL にあり、
犠牲者のコンピュータ上でシステムリソースを使い果したり、
プロセスをクラッシュさせたりすることで、攻撃者がサービス不能
(DoS) 攻撃を引き起こす可能性があることが発見されました。</p>

<ul>

<li><a href="http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-2937";>CVE-2006-2937</a>

	<p>OpenSSL コアチームおよび Open Network	Security の S N Henson
 さんは、最近 NISCC (www.niscc.gov.uk) 向けの ASN1 テストスイーツを開発しました。
 このテストスイーツを	OpenSSL に対して実行したところ、二件のサービス不能
 (DoS) 攻撃脆弱性が発見されました。</p>

	<p>特定の不正な ASN1 構造体の解析をする際に、エラー条件の処理が誤っており、
 システムメモリを費やし無限ループに陥る可能性があります。</p>

	<p>OpenSSL を使用して、信用できないソースから
 ASN1 データを解析するすべてのコードに影響があります。
 それには、クライアント認証を有効にした SSL サーバ や
 S/MIME アプリケーションなどを含みます。</p></li>

<li><a href="http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-3738";>CVE-2006-3738</a>

	<p>Google Security Team の Tavis Ormandy さん、Will Drewry
 さんにより、exim や mysql といったいくつかのアプリケーションで使われる
 SSL_get_shared_ciphers ユーティリティ関数にバッファオーバフローが発見されました。
 攻撃者が暗号リストを送ることで、バッファをオーバーランさせる可能性があります。</p></li>

<li><a href="http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-4343";>CVE-2006-4343</a>

	<p>Google Security Team の Tavis Ormandy さん、Will Drewry
 さんにより、sslv2 クライアントコードにサービス不能 (DoS)
 攻撃の可能性が発見されました。クライアントアプリケーションが
 OpenSSL を用いて悪意を持ったサーバに sslv2 コネクションを張ろうとした場合、
 サーバからクライアントをクラッシュさせることが可能です。</p></li>

<li><a href="http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-2940";>CVE-2006-2940</a>

	<p>OpenSSL コアチームおよび Open Network	Security の S N Henson
 さんは、最近 NISCC (www.niscc.gov.uk) 向けの ASN1 テストスイーツを開発しました。
 このテストスイーツを	OpenSSL に対して実行したところ、サービス不能
 (DoS) 攻撃脆弱性が発見されました。</p>

	<p>特定のタイプの公開鍵は、不釣り合いな量の処理時間が必要になります。
 この問題を、攻撃者がサービス不能 (DoS) 攻撃に悪用する可能性があります。</p></li>

</ul>

<p>安定版ディストリビューション (stable、コードネーム sarge)
では、これらの問題はバージョン 0.9.7e-3sarge3 で修正されています。</p>

<p>不安定版およびテスト版ディストリビューション (sid および etch、それぞれrespectively)
では、これらの問題は openssl097 互換ライブラリの バージョン 0.9.7k-2 および
openssl パッケージのバージョン 0.9.8c-2 で修正されています。</p>

<p>openssl パッケージのアップグレードをお勧めします。また、OpenSSL
共有ライブラリにリンクしているサービスの再起動が必要なことに注意してください。
そのようなサービスの一般的な例として、ほとんどのメール転送エージェント (MTA)、SSH
サーバおよび Web サーバなどが含まれます。</p>
</define-tag>

# do not modify the following line
#include "$(ENGLISHDIR)/security/2006/dsa-1185.data"