Бюллетень безопасности RHSA-2010:0979-01

Средняя (4.3)

(AV:N/AC:M/Au:N/C:N/I:P/A:N)

RedHat

openssl (any) openssl-devel (any) openssl-perl (any) openssl-static (any)

OpenSSL - это инструмент. который реализует протоколы Secure Sockets Layer (SSL v2/v3) и Transport Layer Security (TLS v1), а также является криптографической библиотекой, предназначенной для общих целей.
Ошибка, связанная с шифрованием, обнаружена в коде сервера OpenSSL SSL/TLS. Злоумышленник, действующий удаленно, может использовать данную уязвимость, чтобы изменить криптоалгоритм, который связан с кэшированной на сервере сессией, и, если на сервере включена опция SSL_OP_NETSCAPE_REUSE_CIPHER_CHANGE_BUG, то он может заставить клиента использовать более слабый криптоалгоритм после возобновления сессии. (CVE-2010-4180)
Замечание: после установки данного обновления опция SSL_OP_NETSCAPE_REUSE_CIPHER_CHANGE_BUG не влияет на работу системы.
Пользователям OpenSSL рекомендуется обновить программное обеспечение, чтобы решить указанную проблему. Необходимо перезапустить все службы, использующие библиотеку OpenSSL, или перезагрузить систему, чтобы изменения вступили в силу.

Для устранения уязвимости необходимо установить последнюю версию продукта, соответствующую используемой платформе. Необходимую информацию можно получить по адресу:
https://rhn.redhat.com/errata/RHSA-2010-0979.html

https://rhn.redhat.com/errata/RHSA-2010-0979.html
CVE (CVE-2010-4180): https://www.redhat.com/security/data/cve/CVE-2010-4180.html
BUGZILLA (659462): http://bugzilla.redhat.com/659462

Источник: CVE
Наименование: CVE-2010-4180
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-4180