Debian セキュリティ勧告

DSA-2626-1 lighttpd -- 複数の問題

報告日時:
2013-02-17
影響を受けるパッケージ:
lighttpd
危険性:
あり
参考セキュリティデータベース:
Debian バグ追跡システム: バグ 700399.
Mitre の CVE 辞書: CVE-2009-3555, CVE-2012-4929.
詳細:

複数の脆弱性が TLS/SSL プロトコルに発見されています。 この更新は lighttpd の当該プロトコルへの脆弱性に対応します。

  • CVE-2009-3555

    Marsh Ray さんと Steve Dispensa さん、Martin Rex さんが、TLS および SSLv3 プロトコルが再ネゴシエーションのハンドシェイクを既存の接続と適切に結びつけておらず、 HTTPS セッションへのデータ差し込みを中間者攻撃者に許すことを発見しました。 lighttpd ではクライアントにより開始される再ネゴシエーションを、 デフォルトでは無効とすることによりこの問題に対処しています。

    そういった再ネゴシエーションが本当に必要なユーザは、新しい ssl.disable-client-renegotiation パラメータにより再有効化が可能です。

  • CVE-2012-4929

    Juliano Rizzo さんと Thai Duong さんが、TLS/SSL プロトコルで圧縮を使用した場合に弱点があることを発見しました。 このサイドチャンネル攻撃、通称 CRIME により、盗聴者が情報を収集してプロトコル中の平文の文字列を復元することが可能です。 この更新では圧縮を無効化しています。

安定版 (stable) ディストリビューション (squeeze) では、この問題はバージョン 1.4.28-2+squeeze1.2 で修正されています。

テスト版 (testing) ディストリビューション (wheezy) および不安定版 (unstable) ディストリビューション (sid) では、この問題はバージョン 1.4.30-1 で修正されています。

直ちに lighttpd パッケージをアップグレードすることを勧めます。