Bulletin d'alerte Debian

DSA-253-1 openssl -- Fuite d'information

Date du rapport:

24 février 2003

Paquets concernés:

Vulnérabilité:

Oui

Références dans la base de données de sécurité:

Dans la base de données de suivi des bogues (chez SecurityFocus) : Identificateur BugTraq 6884.
Dans le dictionnaire CVE du Mitre : CVE-2003-0078.

Pour plus d'information:

Une faille de sécurité a été découverte dans OpenSSL, une implémentation de Secure Socket Layer (SSL). Dans un papier à paraître prochainement, Brice Canvel (EPFL), Alain Hiltgen (UBS), Serge Vaudenay (EPFL) et Martin Vuagnoux (EPFL,Ilion) décrivent et démontrent une attaque basée sur une synchronisation sur les suites cipher CBC utilisées dans SSL et TLS. OpenSSL est vulnérable à cette attaque.

Pour la distribution stable (Woody), ce problème a été corrigé dans la version 0.9.6c-2.woody.2.

Pour l'ancienne distribution stable (Potato), ce problème a été corrigé dans la version 0.9.6c-0.potato.5. Veuillez noter que ceci met à jour la version depuis potato-proposed-updates qui remplace la version dans Potato.

Pour la distribution instable (Sid), ce problème a été corrigé dans la version 0.9.7a-1.

Nous vous recommandons de mettre à jour vos paquets openssl.

Corrigé dans:

Debian GNU/Linux 2.2 (potato)

Source :: http://security.debian.org/pool/updates/main/o/openssl/openssl_0.9.6c-0.potato.5.dsc; http://security.debian.org/pool/updates/main/o/openssl/openssl_0.9.6c-0.potato.5.diff.gz; http://security.debian.org/pool/updates/main/o/openssl/openssl_0.9.6c.orig.tar.gz
Composant indépendant de l'architecture :: http://security.debian.org/pool/updates/main/o/openssl/ssleay_0.9.6c-0.potato.5_all.deb
Alpha:: http://security.debian.org/pool/updates/main/o/openssl/libssl-dev_0.9.6c-0.potato.5_alpha.deb; http://security.debian.org/pool/updates/main/o/openssl/libssl0.9.6_0.9.6c-0.potato.5_alpha.deb; http://security.debian.org/pool/updates/main/o/openssl/openssl_0.9.6c-0.potato.5_alpha.deb
ARM:: http://security.debian.org/pool/updates/main/o/openssl/libssl-dev_0.9.6c-0.potato.5_arm.deb; http://security.debian.org/pool/updates/main/o/openssl/libssl0.9.6_0.9.6c-0.potato.5_arm.deb; http://security.debian.org/pool/updates/main/o/openssl/openssl_0.9.6c-0.potato.5_arm.deb
Intel IA-32:: http://security.debian.org/pool/updates/main/o/openssl/libssl-dev_0.9.6c-0.potato.5_i386.deb; http://security.debian.org/pool/updates/main/o/openssl/libssl0.9.6_0.9.6c-0.potato.5_i386.deb; http://security.debian.org/pool/updates/main/o/openssl/openssl_0.9.6c-0.potato.5_i386.deb
Motorola 680x0:: http://security.debian.org/pool/updates/main/o/openssl/libssl-dev_0.9.6c-0.potato.5_m68k.deb; http://security.debian.org/pool/updates/main/o/openssl/libssl0.9.6_0.9.6c-0.potato.5_m68k.deb; http://security.debian.org/pool/updates/main/o/openssl/openssl_0.9.6c-0.potato.5_m68k.deb
PowerPC:: http://security.debian.org/pool/updates/main/o/openssl/libssl-dev_0.9.6c-0.potato.5_powerpc.deb; http://security.debian.org/pool/updates/main/o/openssl/libssl0.9.6_0.9.6c-0.potato.5_powerpc.deb; http://security.debian.org/pool/updates/main/o/openssl/openssl_0.9.6c-0.potato.5_powerpc.deb
Sun Sparc:: http://security.debian.org/pool/updates/main/o/openssl/libssl-dev_0.9.6c-0.potato.5_sparc.deb; http://security.debian.org/pool/updates/main/o/openssl/libssl0.9.6_0.9.6c-0.potato.5_sparc.deb; http://security.debian.org/pool/updates/main/o/openssl/openssl_0.9.6c-0.potato.5_sparc.deb

Debian GNU/Linux 3.0 (woody)

Source :: http://security.debian.org/pool/updates/main/o/openssl/openssl_0.9.6c-2.woody.2.dsc; http://security.debian.org/pool/updates/main/o/openssl/openssl_0.9.6c-2.woody.2.diff.gz; http://security.debian.org/pool/updates/main/o/openssl/openssl_0.9.6c.orig.tar.gz
Composant indépendant de l'architecture :: http://security.debian.org/pool/updates/main/o/openssl/ssleay_0.9.6c-2.woody.2_all.deb
Alpha:: http://security.debian.org/pool/updates/main/o/openssl/libssl-dev_0.9.6c-2.woody.2_alpha.deb; http://security.debian.org/pool/updates/main/o/openssl/libssl0.9.6_0.9.6c-2.woody.2_alpha.deb; http://security.debian.org/pool/updates/main/o/openssl/openssl_0.9.6c-2.woody.2_alpha.deb
ARM:: http://security.debian.org/pool/updates/main/o/openssl/libssl-dev_0.9.6c-2.woody.2_arm.deb; http://security.debian.org/pool/updates/main/o/openssl/libssl0.9.6_0.9.6c-2.woody.2_arm.deb; http://security.debian.org/pool/updates/main/o/openssl/openssl_0.9.6c-2.woody.2_arm.deb
Intel IA-32:: http://security.debian.org/pool/updates/main/o/openssl/libssl-dev_0.9.6c-2.woody.2_i386.deb; http://security.debian.org/pool/updates/main/o/openssl/libssl0.9.6_0.9.6c-2.woody.2_i386.deb; http://security.debian.org/pool/updates/main/o/openssl/openssl_0.9.6c-2.woody.2_i386.deb
Intel IA-64:: http://security.debian.org/pool/updates/main/o/openssl/libssl-dev_0.9.6c-2.woody.2_ia64.deb; http://security.debian.org/pool/updates/main/o/openssl/libssl0.9.6_0.9.6c-2.woody.2_ia64.deb; http://security.debian.org/pool/updates/main/o/openssl/openssl_0.9.6c-2.woody.2_ia64.deb
HPPA:: http://security.debian.org/pool/updates/main/o/openssl/libssl-dev_0.9.6c-2.woody.2_hppa.deb; http://security.debian.org/pool/updates/main/o/openssl/libssl0.9.6_0.9.6c-2.woody.2_hppa.deb; http://security.debian.org/pool/updates/main/o/openssl/openssl_0.9.6c-2.woody.2_hppa.deb
Motorola 680x0:: http://security.debian.org/pool/updates/main/o/openssl/libssl-dev_0.9.6c-2.woody.2_m68k.deb; http://security.debian.org/pool/updates/main/o/openssl/libssl0.9.6_0.9.6c-2.woody.2_m68k.deb; http://security.debian.org/pool/updates/main/o/openssl/openssl_0.9.6c-2.woody.2_m68k.deb
Big endian MIPS:: http://security.debian.org/pool/updates/main/o/openssl/libssl-dev_0.9.6c-2.woody.2_mips.deb; http://security.debian.org/pool/updates/main/o/openssl/libssl0.9.6_0.9.6c-2.woody.2_mips.deb; http://security.debian.org/pool/updates/main/o/openssl/openssl_0.9.6c-2.woody.2_mips.deb
Little endian MIPS:: http://security.debian.org/pool/updates/main/o/openssl/libssl-dev_0.9.6c-2.woody.2_mipsel.deb; http://security.debian.org/pool/updates/main/o/openssl/libssl0.9.6_0.9.6c-2.woody.2_mipsel.deb; http://security.debian.org/pool/updates/main/o/openssl/openssl_0.9.6c-2.woody.2_mipsel.deb
PowerPC:: http://security.debian.org/pool/updates/main/o/openssl/libssl-dev_0.9.6c-2.woody.2_powerpc.deb; http://security.debian.org/pool/updates/main/o/openssl/libssl0.9.6_0.9.6c-2.woody.2_powerpc.deb; http://security.debian.org/pool/updates/main/o/openssl/openssl_0.9.6c-2.woody.2_powerpc.deb
IBM S/390:: http://security.debian.org/pool/updates/main/o/openssl/libssl-dev_0.9.6c-2.woody.2_s390.deb; http://security.debian.org/pool/updates/main/o/openssl/libssl0.9.6_0.9.6c-2.woody.2_s390.deb; http://security.debian.org/pool/updates/main/o/openssl/openssl_0.9.6c-2.woody.2_s390.deb
Sun Sparc:: http://security.debian.org/pool/updates/main/o/openssl/libssl-dev_0.9.6c-2.woody.2_sparc.deb; http://security.debian.org/pool/updates/main/o/openssl/libssl0.9.6_0.9.6c-2.woody.2_sparc.deb; http://security.debian.org/pool/updates/main/o/openssl/openssl_0.9.6c-2.woody.2_sparc.deb

Les sommes MD5 des fichiers indiqués sont disponibles sur la page originale de l'alerte de sécurité.