DSA-4065-1 openssl1.0 -- обновление безопасности

Низкая (0.0)

Debian

libssl1.0.2 (any) libssl1.0-dev (any)

В OpenSSL, наборе инструментов Secure Sockets Layer, были обнаружены
многочисленные уязвимости. Проект Common Vulnerabilities and Exposures
определяет следующие проблемы:

CVE-2017-3737
    Дэвид Бенджамин из Google сообщил, что OpenSSL неправильно
    обрабатывает SSL_read() и SSL_write() в случае вызова в состоянии
    ошибки, что приводит к тому, что данные отправляются без расшифровки или
    шифрования напрямую из слоя записи SSL/TLS.
CVE-2017-3738
    Было обнаружено, что OpenSSL содержит переполнение в процедуре умножения по
    алгоритму Монтгомери AVX2, используемой при возведении в степень с
    1024-битными показатлями.
Подробности можно найти в рекомендации из основной ветки разработки:
https://www.openssl.org/news/secadv/20171207.txthttps://www.openssl.org/news/secadv/20171207.txt">https://www.openssl.org/news/secadv/20171207.txt />
В стабильном выпуске (stretch) эти проблемы были исправлены в
версии 1.0.2l-2+deb9u2.
Рекомендуется обновить пакеты openssl1.0.
С подробным статусом поддержки безопасности openssl1.0 можно ознакомиться на
соответствующей странице отслеживания безопасности по адресу
https://security-tracker.debian.org/tracker/openssl1.0">https://security-tracker.debian.org/tracker/openssl1.0">https://security-tracker.debian.org/tracker/openssl1.0

Проблема может быть решена обновлением операционной системыдо следующих версий пакетов в зависимости от архитектуры:
Debian GNU/Linux 9:
noarch:
libssl1.0-dev - 1.0.2l-2+deb9u2
libssl1.0.2 - 1.0.2l-2+deb9u2

http://www.debian.org/security/dsa-4065/

Источник: CVE
Наименование: CVE-2017-3738
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-3738

Источник: CVE
Наименование: CVE-2017-3737
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-3737