SSL プロトコルの実装である openssl に二つの欠陥が発見されました。 この欠陥は、Codenomicon の TLS Test Tool により発見されたものです。 詳細な情報は、NISCC 脆弱性勧告および OpenSSL からの勧告を参照ください。The Common Vulnerabilities and Exposures project では、以下の欠陥が指摘されています。
do_change_cipher_spec() 関数でヌルポインタの代入が行われています。 リモートの攻撃者が注意深く作成された SSL/TLS ハンドシェイクを、 OpenSSL を使用しているサーバに対して実施することで、OpenSSL をクラッシュさせることができます。アプリケーションによりますが、 これによりサービス不能 (DoS) 攻撃が行えます。
旧バージョンの OpenSSL 0.9.6 には、サービス不能攻撃を 引き起こしうる (無限ループとなる) 欠陥があります。
安定版 (stable) ディストリビューション (woody) では、この問題は openssl のバージョン 0.9.6c-2.woody.6、openssl094 のバージョン 0.9.4-6.woody.4、 openssl095 のバージョン 0.9.5a-6.woody.5 で修正されています。
不安定版 (unstable) ディストリビューション (sid) では、 この問題は近日中に修正予定です。
直ちに openssl パッケージをアップグレードすることをお勧めします。
一覧にあるファイルの MD5 チェックサムは勧告の原文にあります。