Debian DSA-2993-1：tor - 安全更新

medium Nessus 插件 ID 76949

语言：

简介

远程 Debian 主机缺少与安全相关的更新。

描述

已在基于连接的低延迟匿名通信系统 Tor 中发现多个导致信息泄漏的问题。

- Relay-early 信元可被网络上的合谋中继用于跟随用户回路并因此进行流量确认攻击 [CVE-2014-5117]。更新后的版本在接收到传入 relay-early 信元时会发出警告并终止回路，从而防止这种特定类型的攻击。请查看以下公告以了解关于此问题的更多详细信息：
https://blog.torproject.org/blog/tor-security-advisory-relay-early-traffic-confirmation-attack

- 将某些畸形输入与一小类私有 ntor 密钥同时使用时，32 位 curve25519-donna 实现中边界检查中的缺陷可在 32 位实现上造成错误的结果。此缺陷当前似乎不会允许攻击者了解私钥或冒充 Tor 服务器，但其可提供将 32 位 Tor 实现与 64 位 Tor 实现进行区别的方法。
实现了以下更多与安全性相关的改进：

- 对于客户端，新版本将有效地停止使用 CREATE_FAST 信元。尽管这样会增加网络上的计算负载，但此方法可在 Tor 的回路握手强于可用的 TLS 连接安全等级的连接上提高安全性。
- 通过遵从一致性参数使客户端准备使用更少的条目防护。以下文章提供一些背景：

https://blog.torproject.org/blog/improving-tors-anonymity-changing-guard-parameters