セキュリティ情報 / 2013 / セキュリティ情報 -- DSA-2627-1 nginx

Debian セキュリティ勧告

DSA-2627-1 nginx -- 情報漏洩

報告日時:

2013-02-17

影響を受けるパッケージ:

nginx

危険性:

あり

参考セキュリティデータベース:

Debian バグ追跡システム: バグ 700426.
Mitre の CVE 辞書: CVE-2012-4929.

詳細:

Juliano Rizzo さんと Thai Duong さんが、TLS/SSL プロトコルで圧縮を使用した場合に弱点があることを発見しました。 このサイドチャンネル攻撃、通称 CRIME により、盗聴者が情報を収集してプロトコル中の平文の文字列を復元することが可能です。 この nginx に対する更新では圧縮を無効化しています。

安定版 (stable) ディストリビューション (squeeze) では、この問題はバージョン 0.7.67-3+squeeze3 で修正されています。

テスト版 (testing) ディストリビューション (wheezy) および不安定版 (unstable) ディストリビューション (sid) では、この問題はバージョン 1.1.16-1 で修正されています。

直ちに nginx パッケージをアップグレードすることを勧めます。