Scientific Linux 安全性更新：SL5.x i386/x86_64 上的 openssl

medium Nessus Plugin ID 60725

語系：

概要

遠端 Scientific Linux 主機缺少一個或多個安全性更新。

說明

CVE-2009-2409 淘汰 SSL 憑證驗證中的 MD2 (Kaminsky)

CVE-2009-4355 openssl 某些 SSLv3 要求中的重大記憶體洩漏 (DoS)

據發現，OpenSSL 程式庫在呼叫 CRYPTO_cleanup_all_ex_data() 函式後，並未正確重新初始化其在 SSL_library_init() 函式中的內部狀態，導致後續每個 SSL 連線洩漏記憶體。此瑕疵可造成重新載入期間會呼叫函式的伺服器應用程式消耗所有可用記憶體，進而導致拒絕服務，例如 Apache HTTP Server、mod_ssl、PHP 和 cURL 的組合。(CVE-2009-4355)

Dan Kaminsky 發現即使不再視 MD2 為密碼編譯的強式演算法，瀏覽器仍可接受具有 MD2 雜湊簽章的憑證。這可讓攻擊者更容易建立受瀏覽器信任的惡意憑證。OpenSSL 現預設停用簽章內的 MD2 演算法。(CVE-2009-2409)

若要使更新生效，連結到 OpenSSL 程式庫的所有服務都必須重新啟動或讓系統重新開機。