- fixes potentially poor random number generation for     users who 1) use OpenSSL 1.0.0 or later, 2) set     'HardwareAccel 1' in their torrc file, 3) have 'Sandy     Bridge' or 'Ivy Bridge' Intel processors and 4) have no     state file in their DataDirectory (as would happen on     first start). Users who generated relay or hidden     service identity keys in such a situation should discard     them and generate new ones. No 2 is not the default     configuration for openSUSE. [bnc#859421] [CVE-2013-7295] 

  - added patches :

  - tor-0.2.3.x-CVE-2013-7295.patch

Updated tor packages fix multiple vulnerabilities :

Tor before 0.2.4.20, when OpenSSL 1.x is used in conjunction with a certain HardwareAccel setting on Intel Sandy Bridge and Ivy Bridge platforms, does not properly generate random numbers for relay identity keys and hidden-service identity keys, which might make it easier for remote attackers to bypass cryptographic protection mechanisms via unspecified vectors (CVE-2013-7295).

Update to version 0.2.4.22 solves these major and security problems :

  - Block authority signing keys that were used on     authorities vulnerable to the heartbleed bug in OpenSSL     (CVE-2014-0160).

  - Fix a memory leak that could occur if a microdescriptor     parse fails during the tokenizing step.

  - The relay ciphersuite list is now generated     automatically based on uniform criteria, and includes     all OpenSSL ciphersuites with acceptable strength and     forward secrecy.

  - Relays now trust themselves to have a better view than     clients of which TLS ciphersuites are better than     others.

  - Clients now try to advertise the same list of     ciphersuites as Firefox 28.

For other changes see the upstream change log

更新済みの tor パッケージにより、以下の複数の脆弱性が修正されます：

0.2.4.20 より前の Tor は、OpenSSL 1.x が、Intel Sandy Bridge および Ivy Bridge プラットフォームの特定の HardwareAccel 設定とともに使用されるとき、リレー識別キーおよび非表示サービス識別キーのための乱数を適切に生成しないために、リモートの攻撃者が詳細不明なベクトルを介して、暗号保護メカニズムを容易にバイパスする可能性があります（CVE-2013-7295）。

バージョン 0.2.4.22 への更新で、これらの重要なセキュリティ問題が解決されます：

- 認証のために使用されるブロック認証署名キーは、OpenSSL のハートブリードバグに脆弱です（CVE-2014-0160）。

- メモリリークを修正します。この問題により、トークン化ステップ中にマイクロスクリプターの解析が失敗する可能性があります。

- 現在、リレー暗号スイートリストは、統一されている基準に沿って自動的に生成され、許容可能な強度と前方秘匿性のあるすべての OpenSSL 暗号スイートを含んでいます。

- リレーはそれ自体を信頼し、 TLS 暗号スイートが他よりも優れるクライアントよりも高度なビューを提供します。

- クライアントは、Firefox 28 と同じ暗号スイートのリストをアドバタイズしようとします。

他の変更については、Upstream 変更ログを参照してください

更新版 tor 套件可修正多個弱點：

使用 OpenSSL 1.x，且 Intel Sandy Bridge 和 Ivy Bridge 平台上設有特定的 HardwareAccel 設定時，0.2.4.20 版以前的 Tor 未正確針對轉送識別金鑰產生亂數，這可讓遠端攻擊者更容易透過不明的向量繞過密碼編譯保護機制 (CVE-2013-7295)。

0.2.4.22 版的更新，可解決這些主要和安全性問題：

- 針對容易受到 OpenSSL 中 Heartbleed 錯誤影響的授權單位，封鎖其使用的授權單位簽署金鑰 (CVE-2014-0160)。

- 修正在 Token 化步驟期間 microdescriptor 解析失敗後會出現的記憶體洩漏問題。

- 轉送加密套件清單現在是以統一準則為準自動產生，內含所有長度和轉寄密碼可接受的 OpenSSL 加密套件。

- 轉送現在相信自己的檢視優於 TLS 加密套件比其他好的用戶端。

- 用戶端現在會嘗試將相同的加密套件清單公告為 Firefox 28。

如需其他變更，請參閱上游變更記錄

- 針對 1) 使用 OpenSSL 1.0.0 或更新版本、2) 在 torrc 檔案中設定「HardwareAccel 1」、3) 裝載「Sandy Bridge」或「Ivy Bridge」Intel 處理器以及 4) DataDirectory 中沒有狀態檔案 (如同第一次啟動) 的使用者，修正可能發生的亂數產生效果不佳問題。在這種情況下，產生轉送或隱藏服務識別金鑰的使用者應予以捨棄，並產生新的金鑰。編號 2 不是 openSUSE 的預設組態。[bnc#859421] [CVE-2013-7295]

- 已新增修補程式：

- tor-0.2.3.x-CVE-2013-7295.patch

- 次のようなユーザーに対する、脆弱である可能性のある乱数発生器を修正します。1）OpenSSL 1.0.0 またはそれ以降を使用するユーザー。2）ユーザーの torrc ファイルに「HardwareAccel 1」を設定するユーザー。3）「Sandy Bridege」または「Ivy Bridge」Intel プロセッサを持つユーザー。4）ユーザーの DataDirectory において状態ファイルを持たないユーザー（初めての起動で発生する可能性があるため）。そのような状況でリレーまたは非表示のサービス ID キーを生成するユーザーは、これらを破棄し、新しいものを生成する必要があります。第 2 は、openSUSE のデフォルト構成ではありません。[bnc#859421] [CVE-2013-7295]

- 次のパッチを追加しました：

- tor-0.2.3.x-CVE-2013-7295.patch

更新后的 tor 程序包修复了多种漏洞：

当 OpenSSL 1.x 与 Intel Sandy Bridge 和 Ivy Bridge 平台中的某些 HardwareAccel 设置配合使用时，低于 0.2.4.20 的 Tor 未正确生成中继身份密钥和隐藏服务身份密钥的随机数，这可使远程攻击者更容易通过不明矢量绕过加密保护机制 (CVE-2013-7295)。

更新到版本 0.2.4.22，解决了以下主要问题和安全问题：

- 阻断 OpenSSL 中易受“heartbleed”缺陷影响的授权使用的颁发机构签名密钥 (CVE-2014-0160)。

- 修复了在标记化步骤中微观描述符解析失败时可能引起的内存泄漏。

- 现在可根据统一标准自动生成中继加密套件列表，其中包含具有可接受长度和前向保密的所有 OpenSSL 加密套件。

- 中继现在认为其自身的判断力优于客户端，能够找出哪些 TLS 加密套件更好，哪些则较差。

- 客户端现在可尝试公布与 Firefox 28 相同的加密套件列表。

有关其他变更，请参阅上游变更日志

- 为 1) 使用 OpenSSL 1.0.0 或更高版本、2) 在其 torrc 文件中设置“HardwareAccel 1”、3) 安装了“Sandy Bridge”或“Ivy Bridge”Intel 处理器和 4) 其 DataDirectory 中无任何 state 文件（首次启动时发生）的用户修复潜在不良的随机数生成。在此类情况下生成了中继或隐藏的服务身份密钥的用户应丢弃这些密钥并生成新的密钥。编号 2 不是 openSUSE 的默认配置。[bnc#859421] [CVE-2013-7295]

- 增加了以下修补程序：

- tor-0.2.3.x-CVE-2013-7295.patch

ID	名稱	產品	系列	已發布	已更新	嚴重性
75409	openSUSE Security Update : tor (openSUSE-SU-2014:0143-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	medium
74481	Mandriva Linux Security Advisory : tor (MDVSA-2014:123)	Nessus	Mandriva Local Security Checks	2014/6/12	2022/5/5	high
74481	Mandriva Linux セキュリティアドバイザリ：tor（MDVSA-2014:123）	Nessus	Mandriva Local Security Checks	2014/6/12	2022/5/5	high
74481	Mandriva Linux 安全性公告：tor (MDVSA-2014:123)	Nessus	Mandriva Local Security Checks	2014/6/12	2022/5/5	high
75409	openSUSE 安全性更新：tor (openSUSE-SU-2014:0143-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	medium
75409	openSUSE セキュリティ更新：tor（openSUSE-SU-2014:0143-1）	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	medium
74481	Mandriva Linux 安全公告：tor (MDVSA-2014:123)	Nessus	Mandriva Local Security Checks	2014/6/12	2022/5/5	high
75409	openSUSE 安全更新：tor (openSUSE-SU-2014:0143-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	medium

偵測

搜尋 Plugin

medium

high

high

high

medium

medium

high

medium