Рекомендация Debian по безопасности

DSA-2573-1 radsecproxy -- слабая проверка SSL-сертификатов

Дата сообщения:
10.11.2012
Затронутые пакеты:
radsecproxy
Уязвим:
Да
Ссылки на базы данных по безопасности:
В каталоге Mitre CVE: CVE-2012-4523, CVE-2012-4566.
Более подробная информация:

Ральф Паффрат сообщил, что Radsecproxy, прокси для протокола RADIUS, смешивает верификацию клиентов до и после рукопожатия. При определённых настройках данная уязвимость может приводить к ошибочному принятию клиентов без выполнения проверки их цепочек сертификатов.

Рафаэль Гессер заметил, что исправление CVE-2012-4523 неполно и приводит к CVE-2012-4566. Обе уязвимости исправлены в данном обновлении.

Заметьте, что это обновление может привести к тому, что Radsecproxy будет отклонять некоторых клиентов, которые в настоящее время (ошибочно) принимаются.

В стабильном выпуске (squeeze) эти проблемы были исправлены в версии 1.4-1+squeeze1.

В тестируемом выпуске (wheezy) эти проблемы были исправлены в версии 1.6.2-1.

В нестабильном выпуске (sid) эти проблемы были исправлены в версии 1.6.2-1.

Рекомендуется обновить пакеты radsecproxy.