Бюллетень безопасности RHSA-2010:0978-01

Средняя (4.3)

(AV:N/AC:M/Au:N/C:N/I:P/A:N)

RedHat

openssl (any) openssl-devel (any) openssl-perl (any)

OpenSSL - это инструмент. который реализует протоколы Secure Sockets Layer (SSL v2/v3) и Transport Layer Security (TLS v1), а также является криптографической библиотекой, предназначенной для общих целей.
Ошибка, связанная с шифрованием, обнаружена в коде сервера OpenSSL SSL/TLS. Злоумышленник, действующий удаленно, может воспользоваться этой ошибкой, чтобы изменить алгоритм шифрования, который используется в кэшированной на сервере сессии, если на сервере включена опция SSL_OP_NETSCAPE_REUSE_CIPHER_CHANGE_BUG, возможно, это приведет к тому, что клиент будет использовать менее стойкий криптоалгоритм после возобновления сессии. (CVE-2010-4180, CVE-2008-7270)
Замечание: Если данное обновление установлено, то опция SSL_OP_NETSCAPE_REUSE_CIPHER_CHANGE_BUG не влияет на работу системы.
Пользователям OpenSSL рекомендуется обновить программное обеспечение, чтобы решить указанную проблему. Необходимо перезапустить все службы, использующие библиотеку OpenSSL, или перезагрузить систему, чтобы изменения вступили в силу.

Для устранения уязвимости необходимо установить последнюю версию продукта, соответствующую используемой платформе. Необходимую информацию можно получить по адресу:
https://rhn.redhat.com/errata/RHSA-2010-0978.html

https://rhn.redhat.com/errata/RHSA-2010-0978.html
CVE (CVE-2008-7270): https://www.redhat.com/security/data/cve/CVE-2008-7270.html
CVE (CVE-2010-4180): https://www.redhat.com/security/data/cve/CVE-2010-4180.html
BUGZILLA (659462): http://bugzilla.redhat.com/659462
BUGZILLA (660650): http://bugzilla.redhat.com/660650

Источник: CVE
Наименование: CVE-2008-7270
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-7270

Источник: CVE
Наименование: CVE-2010-4180
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-4180