Mandriva Linux 安全性公告：tor (MDVSA-2014:123)

high Nessus Plugin ID 74481

語系：

概要

遠端 Mandriva Linux 主機缺少安全性更新。

說明

更新版 tor 套件可修正多個弱點：

使用 OpenSSL 1.x，且 Intel Sandy Bridge 和 Ivy Bridge 平台上設有特定的 HardwareAccel 設定時，0.2.4.20 版以前的 Tor 未正確針對轉送識別金鑰產生亂數，這可讓遠端攻擊者更容易透過不明的向量繞過密碼編譯保護機制 (CVE-2013-7295)。

0.2.4.22 版的更新，可解決這些主要和安全性問題：

- 針對容易受到 OpenSSL 中 Heartbleed 錯誤影響的授權單位，封鎖其使用的授權單位簽署金鑰 (CVE-2014-0160)。

- 修正在 Token 化步驟期間 microdescriptor 解析失敗後會出現的記憶體洩漏問題。

- 轉送加密套件清單現在是以統一準則為準自動產生，內含所有長度和轉寄密碼可接受的 OpenSSL 加密套件。

- 轉送現在相信自己的檢視優於 TLS 加密套件比其他好的用戶端。

- 用戶端現在會嘗試將相同的加密套件清單公告為 Firefox 28。

如需其他變更，請參閱上游變更記錄