Debian DSA-3053-1：openssl - 安全性更新 (POODLE)

low Nessus Plugin ID 78520

語系：

概要

遠端 Debian 主機缺少安全性更新。

說明

在安全通訊端層程式庫和工具組 OpenSSL 中發現數個弱點。

- CVE-2014-3513 在 OpenSSL 剖析 DTLS 安全即時傳輸通訊協定 (SRTP) 延伸資料的方式中發現一個記憶體洩漏瑕疵。遠端攻擊者可傳送多個特製的交握訊息以耗盡 SSL/TLS 或 DTLS 伺服器的所有可用記憶體。

- CVE-2014-3566 ('POODLE') 在加密區塊鏈結 (CBC) 模式下解密使用區塊加密法加密的訊息時，在 SSL 3.0 處理填補位元組的方式中發現一個瑕疵。攔截式 (MITM) 攻擊者若能夠強制受影響的應用程式透過新建立的 SSL 3.0 連線重複傳送相同資料，此瑕疵即可讓其嘗試解密所選的加密文字位元組 256 次。

此更新新增了 Fallback SCSV 支援，以減輕此問題。

- CVE-2014-3567 在 OpenSSL 處理失敗工作階段票證完整性檢查的方式中發現一個記憶體洩漏瑕疵。遠端攻擊者可傳送大量無效的工作階段票證給 SSL/TLS 或 DTLS 伺服器，藉以耗盡該伺服器的所有可用記憶體。

- CVE-2014-3568 以「no-ssl3」做為版本選項進行 OpenSSL 設定時，伺服器可接受並完成 SSL 3.0 交握，而用戶端可設為傳送交握。