Debian DSA-3053-1：openssl - 安全更新 (POODLE)

low Nessus 插件 ID 78520

语言：

简介

远程 Debian 主机缺少与安全相关的更新。

描述

在安全套接字层库和工具包 OpenSSL 中发现了多个漏洞。

- CVE-2014-3513 在 OpenSSL 解析 DTLS 安全实时传输协议 (SRTP) 扩展数据的方式中发现了一个信息泄漏缺陷。远程攻击者可发送多个特别构建的握手消息，以耗尽 SSL/TLS 或 DTLS 服务器的所有可用内存。

- CVE-2014-3566（“POODLE”）在 SSL 3.0 解密使用密码块链接 (CBC) 模式中的块密码进行加密的消息时处理填充字节的方式中发现一个缺陷。如果中间人 (MITM) 攻击者能够强制受害的应用程序通过新创建的 SSL 3.0 连接不断地发送同样的数据，就能将选中的加密文本字节在 256 次内解密。

此更新添加了对回退 SCSV 的支持，以缓解该问题。

- CVE-2014-3567 在 OpenSSL 处理失败的会话票证完整性检查的方式中发现一个内存泄漏缺陷。远程攻击者可通过向 SSL/TLS 或 DTLS 服务器发送大量无效的会话票证来耗尽该服务器的所有可用内存。

- CVE-2014-3568 将“no-ssl3”作为构建选项来配置 OpenSSL 时，服务器可接受和完成 SSL 3.0 握手，客户端可被配置为发送它们。