Рекомендация Debian по безопасности

DSA-1174-1 openssl096 -- слабое шифрование

Дата сообщения:
11.09.2006
Затронутые пакеты:
openssl096
Уязвим:
Да
Ссылки на базы данных по безопасности:
В системе отслеживания ошибок Debian: Ошибка 386247.
В базе данных Bugtraq (на SecurityFocus): Идентификатор BugTraq 19849.
В каталоге Mitre CVE: CVE-2006-4339.
Более подробная информация:

Дэниель Блайхенбахер обнаружил уязвимость в OpenSSL, пакете для шифрования, которые могут позволить злоумышленнику создать поддельную подпись, которую OpenSSL будет принимать в качестве правильной.

В стабильном выпуске (sarge) эта проблема была исправлена в версии 0.9.6m-1sarge2.

Данный пакет существует только для поддержания совместимости с устаревшим ПО и отсутствует в нестабильном и тестируемом выпусках Debian.

Рекомендуется обновить пакеты openssl. Заметьте, что службы, связанные с разделяемыми библиотеками openssl, следует перезапустить. Обычно среди таких служб имеются агенты пересылки почты, серверы SSH, в также веб-серверы.

Исправлено в:

Debian GNU/Linux 3.1 (sarge)

Исходный код:
http://security.debian.org/pool/updates/main/o/openssl096/openssl096_0.9.6m-1sarge2.dsc
http://security.debian.org/pool/updates/main/o/openssl096/openssl096_0.9.6m-1sarge2.diff.gz
http://security.debian.org/pool/updates/main/o/openssl096/openssl096_0.9.6m.orig.tar.gz
Alpha:
http://security.debian.org/pool/updates/main/o/openssl096/libssl0.9.6_0.9.6m-1sarge2_alpha.deb
AMD64:
http://security.debian.org/pool/updates/main/o/openssl096/libssl0.9.6_0.9.6m-1sarge2_amd64.deb
ARM:
http://security.debian.org/pool/updates/main/o/openssl096/libssl0.9.6_0.9.6m-1sarge2_arm.deb
HPPA:
http://security.debian.org/pool/updates/main/o/openssl096/libssl0.9.6_0.9.6m-1sarge2_hppa.deb
Intel IA-32:
http://security.debian.org/pool/updates/main/o/openssl096/libssl0.9.6_0.9.6m-1sarge2_i386.deb
Intel IA-64:
http://security.debian.org/pool/updates/main/o/openssl096/libssl0.9.6_0.9.6m-1sarge2_ia64.deb
Motorola 680x0:
http://security.debian.org/pool/updates/main/o/openssl096/libssl0.9.6_0.9.6m-1sarge2_m68k.deb
Big endian MIPS:
http://security.debian.org/pool/updates/main/o/openssl096/libssl0.9.6_0.9.6m-1sarge2_mips.deb
Little endian MIPS:
http://security.debian.org/pool/updates/main/o/openssl096/libssl0.9.6_0.9.6m-1sarge2_mipsel.deb
PowerPC:
http://security.debian.org/pool/updates/main/o/openssl096/libssl0.9.6_0.9.6m-1sarge2_powerpc.deb
IBM S/390:
http://security.debian.org/pool/updates/main/o/openssl096/libssl0.9.6_0.9.6m-1sarge2_s390.deb
Sun Sparc:
http://security.debian.org/pool/updates/main/o/openssl096/libssl0.9.6_0.9.6m-1sarge2_sparc.deb

Контрольные суммы MD5 этих файлов доступны в исходном сообщении.