DSA-2622-1 polarssl -- несколько уязвимостей

Средняя (4.3)

(AV:N/AC:M/Au:N/C:N/I:N/A:P)

Debian

libpolarssl0 (any) libpolarssl-dev (any) libpolarssl-runtime (any)

В PolarSSL были обнаружены многочисленные уязвимости. Проект Common
Vulnerabilities and Exposures определяет следующие проблемы:

CVE-2013-0169
Была обнаружена возможность атаки по сторонним каналам по таймингу в паддинге CBC,
    которая позволяет атакующему восстановить части текстовых данных при помощи статистического
    анализа специально сформированных пакетов, известного как проблема Lucky Thirteen.
CVE-2013-1621
Ошибка индекса массива может позволить удалённым атакующим вызвать отказ
    в обслуживании через векторы, включающие специально сформированные значения длины паддинга
    во время проверки паддинга CBC сессии TLS.
CVE-2013-1622
Некорректные данные CBC в сессии TLS могут позволить удалённым атакующим
    выполнить атаки при помощи статистического анализа тайминга данных сторонних
    каналов для специально сформированных пакетов.

В стабильном выпуске (squeeze) эти проблемы были исправлены в
версии 0.12.1-1squeeze1.
В тестируемом (wheezy) и нестабильном
(sid) выпусках эти проблемы были исправлены в версии 1.1.4-2.
Рекомендуется обновить пакеты polarssl.

Проблема может быть решена обновлением операционной системы до следующих версий пакетов в зависимости от архитектуры:
Debian GNU/Linux 6:
noarch:
polarssl - 0.12.1-1squeeze1

http://www.debian.org/security/dsa-2622/

Источник: CVE
Наименование: CVE-2013-1622
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2013-1622

Источник: CVE
Наименование: CVE-2013-0169
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2013-0169

Источник: CVE
Наименование: CVE-2013-1621
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2013-1621