Flera sårbarheter har upptäckts i det kryptografiska programvarupaketet OpenSSL vilka kunde utnyttjas av en angripare till att utföra en överbelastningsattack genom att ta slut på systemets resurser eller krascha processer på offrets dator.
Tavis Ormandy och Will Drewry från Googles säkerhetsgrupp upptäckte ett buffertspill i funktionen SSL_get_shared_ciphers utility, vilken används av flera programvaror, däribland exim och mysql. En angripare kunde sända en lista över chiffer som spillde en buffert.
Tavis Ormandy och Will Drewry från Googles säkerhetsgrupp upptäckte en möjlighet till överbelastningsattack i sslv2-klientkoden. När ett klientprogram använde OpenSSL för att öppna en SSLv2-anslutning till en skadlig server kunde servern få klienten att krascha.
Dr S N Henson från OpenSSL:s kärngrupp och Open Network Security utvecklade nyligen en ASN1-testsvit för NISCC (www.niscc.gov.uk). När testsviten kördes mot OpenSSL upptäcktes en överbelastningsattackvektor.
Vissa sorters öppna nycklar kunde ta oproportionella mängder tid att behandla. Detta kunde utnyttjas av en angripare i en överbelastningsattack.
För den stabila utgåvan (Sarge) har dessa problem rättats i version 0.9.6m-1sarge4.
Detta paket finns endast för kompatibilitet med äldre programvara och förekommer inte i Debian instabila utgåva eller uttestningsutgåva.
Vi rekommenderar att ni uppgraderar ert openssl096-paket. Observera att tjänster som länkar mot openssl:s delade paket måste startas om. Vanliga exempel på sådana tjänster är de flesta e-postserverprogramvaror, SSH-servrar och webbservrar.
MD5-kontrollsummor för dessa filer finns i originalbulletinen.