Des chercheurs ont découvert deux défauts dans OpenSSL, une bibliothèque Secure Socket Layer (SSL) et des outils cryptographiques liés. Les applications qui sont liées avec cette bibliothèque sont généralement vulnérables aux attaques qui pourraient récupérer la clé privée du serveur ou qui rendaient les sessions chiffrées décryptables autrement. Le projet Common Vulnerabilities and Exposures (CVE) a identifié les failles de sécurité suivantes :
Pour la distribution stable (Woody), ces problèmes ont été corrigés dans la version 0.9.6c-2.woody.3.
Pour l'ancienne distribution stable (Potato), ces problèmes ont été corrigés dans version 0.9.6c-0.potato.6.
Pour la distribution instable (Sid), ces problèmes ont été corrigés dans la version 0.9.7b-1 de openssl et la version 0.9.6j-1 de openssl096.
Nous vous recommandons de mettre à jour vos paquets openssl immédiatement et de redémarrer les applications qui utilisent OpenSSL.
Malheureusement, le camouflage RSA n'est pas sûr en mode thread et causera des problèmes pour les programmes qui utilisent les threads et OpenSSL comme stunnel. Cependant, étant donné que le correctif proposé changerait l'interface binaire (ABI), les programmes qui sont liés dynamiquement contre OpenSSL ne fonctionneront plus. C'est un dilemme que nous ne pouvons pas résoudre.
Vous devrez décider entre la mise à niveau de la sécurité qui n'est pas sûre d'un point de vue des threads et devoir recompiler toutes les applications qui apparemment échouent après la mise à jour, ou bien récupérer les paquets source additionnels disponibles en fin d'annonce, le recompiler et utiliser une bibliothèque OpenSSL de nouveau sûre pour les threads mais aussi recompiler toutes les applications qui en font usage (comme apache-ssl, mod_ssl, ssh etc.).
Cependant, étant donné que très peu de paquets utilisent les threads et se lient contre la bibliothèque OpenSSL, la plupart des utilisateurs seront capables d'utiliser les paquets avec cette mise à jour sans aucun problème.
Les sommes MD5 des fichiers indiqués sont disponibles sur la page originale de l'alerte de sécurité.