Debian DSA-2141-1：openssl - SSL/TLS 不安全的重新协商协议设计缺陷

medium Nessus 插件 ID 51440

语言：

简介

远程 Debian 主机缺少与安全相关的更新。

描述

DSA-2141 包含三个独立部分，其可在邮件列表存档中查看：DSA 2141-1 (openssl)、DSA 2141-2 (nss)、DSA 2141-3 (apache2) 和 DSA 2141-4 (lighttpd)。此页面仅涵盖第一个部分 openssl。

- CVE-2009-3555 Marsh Ray、Steve Dispensa 和 Martin Rex 在 TLS 及 SSLv3 协议中发现一个缺陷。如果攻击者可以在 TLS 连接开始时执行中间人攻击，则该攻击者可以在用户会话开始时注入任意内容。此更新针对新 RFC5746 重新协商扩展添加了后向移植支持，可修复此问题。

如果 openssl 用于服务器应用程序，其将默认为不再从不支持 RFC5746 安全重新协商扩展的客户端接受重新协商。独立公告将添加适用于 nss (iceweasel Web 浏览器所使用的安全库) 的 RFC5746 支持。针对 apache2，将提供一个更新，允许重新启用不安全的重新协商。

此版本的 openssl 与旧版的 tor 不兼容。您必须至少使用 tor 版本 0.2.1.26-1~lenny+1，其已随附于 Debian 稳定版本的 5.0.7 点版本。

目前尚未发现其他软件有类似的兼容性问题。

- CVE-2010-4180 此外，此更新也修复了一个缺陷，其允许客户端绕过在服务器中针对所用加密套件而配置的限制。