Debian DSA-2141-1：openssl - SSL/TLS 不安全的重新交涉通訊協定設計瑕疵

medium Nessus Plugin ID 51440

語系：

概要

遠端 Debian 主機缺少安全性更新。

說明

DSA-2141 包含三個獨立部分，其可在郵寄清單封存中檢視：DSA 2141-1 (openssl)、DSA 2141-2 (nss)、DSA 2141-3 (apache2) 和 DSA 2141-4 (lighttpd)。此頁面僅涵蓋第一個部分 openssl。

- CVE-2009-3555 Marsh Ray、Steve Dispensa 和 Martin Rex 在 TLS 及 SSLv3 通訊協定中發現一個瑕疵。如果攻擊者能在 TLS 連線開始時執行攔截式攻擊，便可在使用者工作階段開始時插入任意內容。此更新新增了 RFC5746 重新交涉延伸模組的反向移植支援，其可修正此問題。

如果 openssl 用於伺服器應用程式，其將預設為不再從不支援 RFC5746 安全重新交涉延伸模組的用戶端接受重新交涉。獨立公告將新增適用於 nss (iceweasel 網頁瀏覽器所使用的安全性程式庫) 的 RFC5746 支援。針對 apache2，將提供一個更新，允許重新啟用不安全的重新交涉。

此 openssl 版本與舊版 tor 不相容。您必須使用至少 tor 0.2.1.26-1~lenny+1 的版本，其已隨附於 Debian 穩定版本的 5.0.7 點版本。

目前尚未發現其他軟體有類似的相容性問題。

- CVE-2010-4180 此外，此更新也可修正一個瑕疵，其允許用戶端繞過在伺服器中針對所用加密套件而設定的限制。