在 OpenSSL (一款安全通訊端層工具組) 中發現數個弱點。

- CVE-2016-2105 Guido Vranken 發現，如果攻擊者可提供大量資料，則用於 Base64 編碼的 EVP_EncodeUpdate() 函式中可能發生一個溢位。這可導致堆積損毀。

- CVE-2016-2106 Guido Vranken 發現，如果攻擊者可提供大量資料，則 EVP_EncryptUpdate() 函式可能發生一個溢位。這可導致堆積損毀。

- CVE-2016-2107 Juraj Somorovsky 發現，AES CBC 加密實作中的 padding oracle 是以 AES-NI 指令集為基礎。這可允許攻擊者根據 AES CBC 以其中一個加密套件解密加密的 TLS 流量。

- CVE-2016-2108 Google 的 David Benjamin 發現，ASN.1 編碼器有兩個與處理負零整數值和大型通用標籤有關的獨立錯誤，其可導致超出邊界寫入。

- CVE-2016-2109 Brian Carpenter 發現，使用 d2i_CMS_bio() 等函式從 BIO 讀取 ASN.1 資料時，簡短的無效編碼可能造成配置大量記憶體，進而消耗過多資源或耗盡記憶體。

有關這些問題的其他資訊可在 OpenSSL 安全性公告中找到，網站為：https://www.openssl.org/news/secadv/20160503.txt

偵測

Debian DSA-3566-1：openssl - 安全性更新

critical Nessus Plugin ID 90896

找不到變更記錄