Рекомендация Debian по безопасности

DLA-400-1 pound -- обновление безопасности LTS

Дата сообщения:
24.01.2016
Затронутые пакеты:
pound
Уязвим:
Да
Ссылки на базы данных по безопасности:
В каталоге Mitre CVE: CVE-2009-3555, CVE-2011-3389, CVE-2012-4929, CVE-2014-3566.
Более подробная информация:

Данное обновление исправляет некоторые известные уязвимости в pound в выпуске squeeze-lts путём обратного переноса версии из выпуска wheezy.

  • CVE-2009-3555

    Протокол TLS, протокол SSL 3.0 и возможно более ранних версий, используемые в Microsoft Internet Information Services (IIS) 7.0, mod_ssl в HTTP-сервере Apache 2.2.14 и более ранних версиях, OpenSSL до версии 0.9.8l, GnuTLS 2.8.5 и более ранних версиях, Mozilla Network Security Services (NSS) 3.12.4 и более ранних версиях, многочисленных продуктах Cisco, а также других продуктах, неправильно ассоциируют рукопожатия повторных согласований для существующих соединений, что позволяет злоумышленникам, выполняющим атаки по принципу человек-в-середине, вставлять данные в сессии HTTPS, а, вероятно, и в другие виды сессий, защищённых с помощью TLS или SSL, путём отправки неаутентифицированного запроса, который обрабатывается сервером задним числом в контексте, созданном после повторного согласования, что связано с атакой инъекция открытого текста, известной также как проблема Project Mogul.

  • CVE-2011-3389

    Протокол SSL, используемый при некоторых настройках в Microsoft Windows и Microsoft Internet Explorer, Mozilla Firefox, Google Chrome, Opera и других продуктах, шифрует данные, используя режим CBC с сцепленными векторами инициализации, что позволяет злоумышленникам, выполняющим атаки по принципу человек-в-середине, получать заголовки HTTP в виде открытого текста с помощью атаки по блокам (BCBA) на сессию HTTPS вместе с кодом на JavaScript, использующим (1) HTML5 WebSocket API, (2) Java URLConnection API или (3) Silverlight WebClient API, что известно как атака BEAST.

  • CVE-2012-4929

    Протокол TLS 1.2 или более ранних версий, используемый в Mozilla Firefox, Google Chrome, Qt и других продуктах, может зашифровывать сжатые данные без предварительного изменения длины незашифрованных данных, что позволяет злоумышленникам, выполняющим атаки по принципу человек-в-середине, получать заголовки HTTP в виде открытого текста путём сравнения длин данных в ходе проверки серии предположений, в которых строка в запросе HTTP потенциально совпадает с неизвестной строкой в заголовке HTTP, что также известно как атака CRIME.

  • CVE-2014-3566

    Протокол SSL 3.0, используемый в OpenSSL в 1.0.1i и других продуктах, использует недетерминированное добавление битов заполнителя, что упрощает злоумышленникам, выполняющим атаки по принципу человек-в-середине, получать данные в виде открытого текста с помощью атаки по предсказанию заполнения, что также известно как проблема POODLE.