Debians sikkerhedsbulletin
DSA-1185-2 openssl -- lammelsesangreb
- Rapporteret den:
- 28. sep 2006
- Berørte pakker:
- openssl
- Sårbar:
- Ja
- Referencer i sikkerhedsdatabaser:
- I Mitres CVE-ordbog: CVE-2006-2940, CVE-2006-3738, CVE-2006-4343, CVE-2006-2937.
- Yderligere oplysninger:
-
Rettelsen der blev anvendt til at korrigere CVE-2006-2940, introducerede kode, der kunne føre til anvendelse af uinitialiseret hukommelse. En sådan anvendelse ville sandsynligvis få programmer der anvender openssl-biblioteket til at gå ned, og har potentialet til at gøre det muligt for en angriber, at forårsage udførelse af vilkårlig kode. For reference er herunder den oprindelige bulletins tekst:
Flere sårbarheder er opdaget i OpenSSL-kryptografipakken, hvilket kunne give en angriber mulighed for at iværksætte et lammelsesangreb (denial of service) ved at opbruge systemressourcer eller få processer på offerets maskine til at gå ned.
-
CVE-2006-2937
Dr S N Henson fra OpenSSL's kerneteam og Open Network Security udviklede for nylig en ANS1-testsuite for NISCC (www.niscc.gov.uk). Da testsuiten blev kørt mod OpenSSL, blev to lammelsesangreb opdaget.
Under fortolkingen af visse ugyldige ANS1-strukturer, blev en fejlsituation behandlet forkert. Dette kunne føre til en uendelig løkke, hvilket forbrugte systemhukommelse.
Al kode der anvender OpenSSL til at fortolke ANS1-data fra kilder man ikke stoler på, er påvirket. Deriblandt SSL-servere der muliggør klientautentificering og S/MIME-appplikationer.
-
CVE-2006-3738
Tavis Ormandy og Will Drewry fra Google Security Team har opdaget et bufferoverløb i værktøjsfunktionen SSL_get_shared_ciphers, der anvendes af applikationer som exim og mysql. En angriber kunne sende en liste over koder (ciphers), hvilket fik en buffer til at løbe over.
-
CVE-2006-4343
Tavis Ormandy og Will Drewry fra Google Security Team har opdaget et muligt lammelsesangreb (DoS) i sslv2-klientkoden. Hvor en klientapplikation anvender OpenSSL til at etablere en SSLv2-forbindelse til en ondsindet server, kunne denne server få klienten til at gå ned.
-
CVE-2006-2940
Dr S N Henson fra OpenSSL's kerneteam og Open Network Security udviklede for nylig en ANS1-testsuite for NISCC (www.niscc.gov.uk). Da testsuiden blev kørt mod OpenSSL blev et lammelsesangreb opdaget.
Visse former for offentlige nøgler kunne tage uforholdsmæssig lang tid at behandle, hvilket kunne benyttes af en angriber i et lammelsesangreb.
I den stabile distribution (sarge) er disse problemer rettet i version 0.9.7e-3sarge4.
I den ustabile og distributionen testing (hhv. sid og etch) vil disse problemer blive rettet i version 0.9.7k-3 af openssl097-kompatible biblioteker samt version 0.9.8c-3 af openssl-pakken.
Vi anbefaler at du opgraderer din openssl-pakke. Bemærk at serviceprogrammer der linker mod delte openssl-biblioteker skal genstartes. Typiske eksempler på sådanne serviceprogrammer er for eksempel de flete mailserverprogrammer, SSH-servere og webservere.
-
CVE-2006-2937
- Rettet i:
-
Debian GNU/Linux 3.1 (sarge)
- Kildekode:
- http://security.debian.org/pool/updates/main/o/openssl/openssl_0.9.7e-3sarge4.dsc
- http://security.debian.org/pool/updates/main/o/openssl/openssl_0.9.7e-3sarge4.diff.gz
- http://security.debian.org/pool/updates/main/o/openssl/openssl_0.9.7e.orig.tar.gz
- http://security.debian.org/pool/updates/main/o/openssl/openssl_0.9.7e-3sarge4.diff.gz
- Alpha:
- http://security.debian.org/pool/updates/main/o/openssl/libssl-dev_0.9.7e-3sarge4_alpha.deb
- http://security.debian.org/pool/updates/main/o/openssl/libssl0.9.7_0.9.7e-3sarge4_alpha.deb
- http://security.debian.org/pool/updates/main/o/openssl/openssl_0.9.7e-3sarge4_alpha.deb
- http://security.debian.org/pool/updates/main/o/openssl/libssl0.9.7_0.9.7e-3sarge4_alpha.deb
- AMD64:
- http://security.debian.org/pool/updates/main/o/openssl/libssl-dev_0.9.7e-3sarge4_amd64.deb
- http://security.debian.org/pool/updates/main/o/openssl/libssl0.9.7_0.9.7e-3sarge4_amd64.deb
- http://security.debian.org/pool/updates/main/o/openssl/openssl_0.9.7e-3sarge4_amd64.deb
- http://security.debian.org/pool/updates/main/o/openssl/libssl0.9.7_0.9.7e-3sarge4_amd64.deb
- ARM:
- http://security.debian.org/pool/updates/main/o/openssl/libssl-dev_0.9.7e-3sarge4_arm.deb
- http://security.debian.org/pool/updates/main/o/openssl/libssl0.9.7_0.9.7e-3sarge4_arm.deb
- http://security.debian.org/pool/updates/main/o/openssl/openssl_0.9.7e-3sarge4_arm.deb
- http://security.debian.org/pool/updates/main/o/openssl/libssl0.9.7_0.9.7e-3sarge4_arm.deb
- HPPA:
- http://security.debian.org/pool/updates/main/o/openssl/libssl-dev_0.9.7e-3sarge4_hppa.deb
- http://security.debian.org/pool/updates/main/o/openssl/libssl0.9.7_0.9.7e-3sarge4_hppa.deb
- http://security.debian.org/pool/updates/main/o/openssl/openssl_0.9.7e-3sarge4_hppa.deb
- http://security.debian.org/pool/updates/main/o/openssl/libssl0.9.7_0.9.7e-3sarge4_hppa.deb
- Intel IA-32:
- http://security.debian.org/pool/updates/main/o/openssl/libssl-dev_0.9.7e-3sarge4_i386.deb
- http://security.debian.org/pool/updates/main/o/openssl/libssl0.9.7_0.9.7e-3sarge4_i386.deb
- http://security.debian.org/pool/updates/main/o/openssl/openssl_0.9.7e-3sarge4_i386.deb
- http://security.debian.org/pool/updates/main/o/openssl/libssl0.9.7_0.9.7e-3sarge4_i386.deb
- Intel IA-64:
- http://security.debian.org/pool/updates/main/o/openssl/libssl-dev_0.9.7e-3sarge4_ia64.deb
- http://security.debian.org/pool/updates/main/o/openssl/libssl0.9.7_0.9.7e-3sarge4_ia64.deb
- http://security.debian.org/pool/updates/main/o/openssl/openssl_0.9.7e-3sarge4_ia64.deb
- http://security.debian.org/pool/updates/main/o/openssl/libssl0.9.7_0.9.7e-3sarge4_ia64.deb
- Motorola 680x0:
- http://security.debian.org/pool/updates/main/o/openssl/libssl-dev_0.9.7e-3sarge4_m68k.deb
- http://security.debian.org/pool/updates/main/o/openssl/libssl0.9.7_0.9.7e-3sarge4_m68k.deb
- http://security.debian.org/pool/updates/main/o/openssl/openssl_0.9.7e-3sarge4_m68k.deb
- http://security.debian.org/pool/updates/main/o/openssl/libssl0.9.7_0.9.7e-3sarge4_m68k.deb
- Big endian MIPS:
- http://security.debian.org/pool/updates/main/o/openssl/libssl-dev_0.9.7e-3sarge4_mips.deb
- http://security.debian.org/pool/updates/main/o/openssl/libssl0.9.7_0.9.7e-3sarge4_mips.deb
- http://security.debian.org/pool/updates/main/o/openssl/openssl_0.9.7e-3sarge4_mips.deb
- http://security.debian.org/pool/updates/main/o/openssl/libssl0.9.7_0.9.7e-3sarge4_mips.deb
- Little endian MIPS:
- http://security.debian.org/pool/updates/main/o/openssl/libssl-dev_0.9.7e-3sarge4_mipsel.deb
- http://security.debian.org/pool/updates/main/o/openssl/libssl0.9.7_0.9.7e-3sarge4_mipsel.deb
- http://security.debian.org/pool/updates/main/o/openssl/openssl_0.9.7e-3sarge4_mipsel.deb
- http://security.debian.org/pool/updates/main/o/openssl/libssl0.9.7_0.9.7e-3sarge4_mipsel.deb
- PowerPC:
- http://security.debian.org/pool/updates/main/o/openssl/libssl-dev_0.9.7e-3sarge4_powerpc.deb
- http://security.debian.org/pool/updates/main/o/openssl/libssl0.9.7_0.9.7e-3sarge4_powerpc.deb
- http://security.debian.org/pool/updates/main/o/openssl/openssl_0.9.7e-3sarge4_powerpc.deb
- http://security.debian.org/pool/updates/main/o/openssl/libssl0.9.7_0.9.7e-3sarge4_powerpc.deb
- IBM S/390:
- http://security.debian.org/pool/updates/main/o/openssl/libssl-dev_0.9.7e-3sarge4_s390.deb
- http://security.debian.org/pool/updates/main/o/openssl/libssl0.9.7_0.9.7e-3sarge4_s390.deb
- http://security.debian.org/pool/updates/main/o/openssl/openssl_0.9.7e-3sarge4_s390.deb
- http://security.debian.org/pool/updates/main/o/openssl/libssl0.9.7_0.9.7e-3sarge4_s390.deb
- Sun Sparc:
- http://security.debian.org/pool/updates/main/o/openssl/libssl-dev_0.9.7e-3sarge4_sparc.deb
- http://security.debian.org/pool/updates/main/o/openssl/libssl0.9.7_0.9.7e-3sarge4_sparc.deb
- http://security.debian.org/pool/updates/main/o/openssl/openssl_0.9.7e-3sarge4_sparc.deb
- http://security.debian.org/pool/updates/main/o/openssl/libssl0.9.7_0.9.7e-3sarge4_sparc.deb
MD5-kontrolsummer for de listede filer findes i den originale sikkerhedsbulletin.
MD5-kontrolsummer for de listede filer findes i den reviderede sikkerhedsbulletin.