Бюллетень безопасности RHSA-2010:0163-01

Высокая (5.8)

(AV:N/AC:M/Au:N/C:N/I:P/A:P)

RedHat

openssl (any) openssl-devel (any) openssl-perl (any)

OpenSSL - это инструмент. который реализует протоколы Secure Sockets Layer (SSL v2/v3) и Transport Layer Security (TLS v1), а также является криптографической библиотекой, предназначенной для общих целей.
Уязвимость обнаружена при установлении сессии по протоколам TLS/SSL (Transport Layer Security/Secure Sockets Layer). Злоумышленник может использовать атаку типа "человек посередине", чтобы добавить произвольный текстовый префикс к клиентской сессии (например, к HTTPS-подключению к веб-сайту). Это позволяет заставить сервер обработать запрос злоумышленника как запрос от аутентифицированного пользователя. Данное обновление позволяет избавиться от этой проблемы, установив расширение TLS Renegotiation Indication Extension, как указано в RFC 5746. (CVE-2009-3555)
Дополнительная информация доступна по адресу: http://kbase.redhat.com/faq/docs/DOC-20491http://kbase.redhat.com/faq/docs/DOC-20491">http://kbase.redhat.com/faq/docs/DOC-20491 /> Обнаружено, что браузеры принимают сертификаты с подписью MD2, хотя MD2 не является криптографически стойким алгоритмом шифрования. Эта уязвимость позволяет злоумышленнику создать специальный сертификат, который будет воспринят браузером как доверенный. В текущей версии OpenSSL алгоритм MD2 для цифровых подписей отключен по умолчанию. (CVE-2009-2409)
Уязвимость, связанная с некорректной обработкой входных данных, обнаружена в функции ASN1_STRING_print_ex() при обработке строковых типов BMPString и UniversalString ASN1. Злоумышленник может использовать эту уязвимость, чтобы создать специально сформированный сертификат X.509, что приведет к аварийному завершению работы приложений, использующих уязвимую функцию, при попытке распечатать сертификаты. (CVE-2009-0590)
Замечание: уязвимая функция используется довольно редко. Например, ее не используют приложения, поставляемые вместе с Red Hat Enterprise Linux.
Пользователям OpenSSL рекомендуется обновить программное обеспечение, чтобы решить указанную проблему. Необходимо перезапустить все службы, использующие библиотеку OpenSSL, или перезагрузить систему, чтобы изменения вступили в силу.

Для устранения уязвимости необходимо установить последнюю версию продукта, соответствующую используемой платформе. Необходимую информацию можно получить по адресу:
https://rhn.redhat.com/errata/RHSA-2010-0163.html

https://rhn.redhat.com/errata/RHSA-2010-0163.html
CVE (CVE-2009-0590): https://www.redhat.com/security/data/cve/CVE-2009-0590.html
CVE (CVE-2009-2409): https://www.redhat.com/security/data/cve/CVE-2009-2409.html
CVE (CVE-2009-3555): https://www.redhat.com/security/data/cve/CVE-2009-3555.html
BUGZILLA (492304): http://bugzilla.redhat.com/492304
BUGZILLA (510197): http://bugzilla.redhat.com/510197
BUGZILLA (533125): http://bugzilla.redhat.com/533125

Источник: CVE
Наименование: CVE-2009-0590
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-0590

Источник: CVE
Наименование: CVE-2009-2409
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-2409

Источник: CVE
Наименование: CVE-2009-3555
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-3555