Mandriva Linux 安全公告：tor (MDVSA-2014:123)

high Nessus 插件 ID 74481

语言：

简介

远程 Mandriva Linux 主机缺少安全更新。

描述

更新后的 tor 程序包修复了多种漏洞：

当 OpenSSL 1.x 与 Intel Sandy Bridge 和 Ivy Bridge 平台中的某些 HardwareAccel 设置配合使用时，低于 0.2.4.20 的 Tor 未正确生成中继身份密钥和隐藏服务身份密钥的随机数，这可使远程攻击者更容易通过不明矢量绕过加密保护机制 (CVE-2013-7295)。

更新到版本 0.2.4.22，解决了以下主要问题和安全问题：

- 阻断 OpenSSL 中易受“heartbleed”缺陷影响的授权使用的颁发机构签名密钥 (CVE-2014-0160)。

- 修复了在标记化步骤中微观描述符解析失败时可能引起的内存泄漏。

- 现在可根据统一标准自动生成中继加密套件列表，其中包含具有可接受长度和前向保密的所有 OpenSSL 加密套件。

- 中继现在认为其自身的判断力优于客户端，能够找出哪些 TLS 加密套件更好，哪些则较差。

- 客户端现在可尝试公布与 Firefox 28 相同的加密套件列表。

有关其他变更，请参阅上游变更日志