Debian DSA-2993-1：tor - 安全性更新

medium Nessus Plugin ID 76949

語系：

概要

遠端 Debian 主機缺少安全性更新。

說明

在 Tor (連線型低延遲匿名通訊系統) 中發現數個問題，這些問題可導致資訊洩漏。

- 可利用提早轉送儲存格，在網路上串通轉送並標記使用者迴路，進而部署流量確認攻擊 [ CVE-2014-5117]。更新版會在收到傳入提早轉送儲存格時，發出警告並中斷迴路，以預防此類特定攻擊。請參閱下列公告，瞭解此問題的相關詳細資訊：
https://blog.torproject.org/blog/tor-security-advisory-relay-early-traffic-confirmation-attack

- 32 位元 curve25519-donna 實作的邊界檢查有一個錯誤，若伴隨小類型 ntor 私密金鑰，使用特定格式錯誤的輸入，可導致 32 位元實作產生不正確的結果。此瑕疵目前並無允許攻擊者知悉私密金鑰或模擬 Tor 伺服器的案例，但其可提供辨別 32 位元 Tor 實作和 64 位元 Tor 實作的方式。
已實作下列額外的安全性相關改善功能：

- 以用戶端而言，新版可有效停止使用 CREATE_FAST 儲存格。雖然此做法對於 Tor 迴路交握強度高於可用的 TLS 連線安全性層級之情況，能有效提升連線安全性，但也會增加網路的運算負載。
- 接受共識參數，讓用戶端使用較少的項目防護。下列文章有相關背景介紹：

https://blog.torproject.org/blog/improving-tors-anonymity-changing-guard-parameters