Säkerhetsinformation / 2013 / Säkerhetsinformation -- DSA-2763-1 pyopenssl

Säkerhetsbulletin från Debian

DSA-2763-1 pyopenssl -- förbigången värdnamnskontroll

Rapporterat den:

2013-09-24

Berörda paket:

pyopenssl

Sårbara:

Ja

Referenser i säkerhetsdatabaser:

I Debians felrapporteringssystem: Fel 722055.
I Mitres CVE-förteckning: CVE-2013-4314.

Ytterligare information:

Man har upptäckt att PyOpenSSL, en Python-wrapper runt OpenSSL-biblioteket, inte hanterar certifikat med NULL-tecken korrekt i fältet Subject Alternative Name.

En fjärrangripare med möjlighet att få ett certifikat för 'www.foo.org\0.example.com' från ett CA som en SSL-klient litar på, kunde använda detta till att lura www.foo.org och utföra man-in-the-middle-angrepp mellan klienten som använder PyOpenSSL och SSL-servern.

För den gamla stabila utgåvan (Squeeze) har detta problem rättats i version 0.10-1+squeeze1.

För den stabila utgåvan (Wheezy) har detta problem rättats i version 0.13-2+deb7u1.

För den instabila utgåvan (Sid) har detta problem rättats i version 0.13-2.1.

Vi rekommenderar att ni uppgraderar era pyopenssl-paket.