Mandriva Linux 安全性公告：stunnel (MDVSA-2015:096)

medium Nessus Plugin ID 82349

語系：

概要

遠端 Mandriva Linux 主機缺少安全性更新。

說明

更新版 stunnel 套件可修正安全性弱點：

針對一般應用程式提供 SSL 支援的通訊端包裝函式「stunnel」分歧後，執行 (重新) 初始化 PRNG 的方式有一個瑕疵。在接受新連線時，伺服器分支和子處理程序會處理要求。openssl 的 RAND_bytes() 函式分歧後未重設其狀態，但會使用時間輸出 (NULL) 植入 PRNG。最重要的後果是，使用 EC (ECDSA) 或 DSA 憑證的伺服器，在特定情況下可能會洩漏其私密金鑰 (CVE-2014-0016)。

更新版套件不使用新的處理程序，而是改用執行緒處理連線，修正了此問題。

此外，安裝套件時未建立 pid 檔案目錄的問題也已更正。

Mageia 4 目前存在一個無法嘗試使用 FIPS SSL 的問題 (mga#13124)。新增 fips = no 到組態中即可解決此問題。