Карточка уязвимости
Характеристики уязвимости
Уровень опасности
Оценка CVSS
(AV:N/AC:M/Au:N/C:P/I:N/A:N)
Производитель ПО
Наименование ПО
libssl1.0.0
(any)
libssl1.0.0-dbg
(any)
libssl1.1
(any)
libssl-dev
(any)
libssl-doc
(any)
openssl
(any)
Описание
В OpenSSL, наборе инструментов Secure Sockets Layer, были обнаружены
многочисленные уязвимости. Проект Common Vulnerabilities and Exposures
определяет следующие проблемы:
CVE-2017-3738
Дэвид Бенджамин из Google сообщил о переполнении буфера в процедуре, реализующей алгоритм
Монтгомери AVX2, используемой при возведении в степень со 1024-битными модулями.
CVE-2018-0739
Было обнаружено, что сложные типы ASN.1 с рекурсивными определениями
могут вызвать переполнение стека, потенциально приводящее к отказу
в обслуживании.
Подробности можно найти в рекомендации основной ветки разработки:
https://www.openssl.org/news/secadv/20180327.txthttps://www.openssl.org/news/secadv/20180327.txt">https://www.openssl.org/news/secadv/20180327.txt />
В предыдущем стабильном выпуске (jessie) эти проблемы были исправлены
в версии 1.0.1t-1+deb8u8. Предыдущий стабильный выпуск не подвержен
CVE-2017-3738.
В стабильном выпуске (stretch) эти проблемы были исправлены в
версии 1.1.0f-3+deb9u2.
Рекомендуется обновить пакеты openssl.
С подробным статусом поддержки безопасности openssl можно ознакомиться на
соответствующей странице отслеживания безопасности по адресу
https://security-tracker.debian.org/tracker/openssl">https://security-tracker.debian.org/tracker/openssl">https://security-tracker.debian.org/tracker/openssl
многочисленные уязвимости. Проект Common Vulnerabilities and Exposures
определяет следующие проблемы:
CVE-2017-3738
Дэвид Бенджамин из Google сообщил о переполнении буфера в процедуре, реализующей алгоритм
Монтгомери AVX2, используемой при возведении в степень со 1024-битными модулями.
CVE-2018-0739
Было обнаружено, что сложные типы ASN.1 с рекурсивными определениями
могут вызвать переполнение стека, потенциально приводящее к отказу
в обслуживании.
Подробности можно найти в рекомендации основной ветки разработки:
https://www.openssl.org/news/secadv/20180327.txt
В предыдущем стабильном выпуске (jessie) эти проблемы были исправлены
в версии 1.0.1t-1+deb8u8. Предыдущий стабильный выпуск не подвержен
CVE-2017-3738.
В стабильном выпуске (stretch) эти проблемы были исправлены в
версии 1.1.0f-3+deb9u2.
Рекомендуется обновить пакеты openssl.
С подробным статусом поддержки безопасности openssl можно ознакомиться на
соответствующей странице отслеживания безопасности по адресу
https://security-tracker.debian.org/tracker/openssl">https://security-tracker.debian.org/tracker/openssl">https://security-tracker.debian.org/tracker/openssl
Как исправить
Проблема может быть решена обновлением операционной системыдо следующих версий пакетов в зависимости от архитектуры:
Debian GNU/Linux 9:
noarch:
libssl-dev - 1.1.0f-3+deb9u2
libssl-doc - 1.1.0f-3+deb9u2
libssl1.1 - 1.1.0f-3+deb9u2
openssl - 1.1.0f-3+deb9u2
Debian GNU/Linux 8:
noarch:
libssl-dev - 1.0.1t-1+deb8u8
libssl-doc - 1.0.1t-1+deb8u8
libssl1.0.0 - 1.0.1t-1+deb8u8
libssl1.0.0-dbg - 1.0.1t-1+deb8u8
openssl - 1.0.1t-1+deb8u8
Debian GNU/Linux 9:
noarch:
libssl-dev - 1.1.0f-3+deb9u2
libssl-doc - 1.1.0f-3+deb9u2
libssl1.1 - 1.1.0f-3+deb9u2
openssl - 1.1.0f-3+deb9u2
Debian GNU/Linux 8:
noarch:
libssl-dev - 1.0.1t-1+deb8u8
libssl-doc - 1.0.1t-1+deb8u8
libssl1.0.0 - 1.0.1t-1+deb8u8
libssl1.0.0-dbg - 1.0.1t-1+deb8u8
openssl - 1.0.1t-1+deb8u8
Ссылки
http://www.debian.org/security/dsa-4157/
Источник: CVE
Наименование: CVE-2017-3738
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-3738
Источник: CVE
Наименование: CVE-2018-0739
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-0739
Источник: CVE
Наименование: CVE-2017-3738
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-3738
Источник: CVE
Наименование: CVE-2018-0739
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-0739
