2016,05,27 openssl にセキュリティホール、および関連パッケージのアップデート <target> 6.3/i386, 6.3/x86_64 <url> https://www.openssl.org/news/secadv/20160301.txt https://www.openssl.org/news/secadv/20160503.txt https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-0702 https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-0705 https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-0797 https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-0798 https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-0799 https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-0800 https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-2105 https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-2106 https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-2107 https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-2108 https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-2109 https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-2176 http://jvndb.jvn.jp/ja/contents/2016/JVNDB-2016-001554.html http://jvndb.jvn.jp/ja/contents/2016/JVNDB-2016-001612.html http://jvndb.jvn.jp/ja/contents/2016/JVNDB-2016-001613.html http://jvndb.jvn.jp/ja/contents/2016/JVNDB-2016-001614.html http://jvndb.jvn.jp/ja/contents/2016/JVNDB-2016-001615.html http://jvndb.jvn.jp/ja/contents/2016/JVNDB-2016-002472.html http://jvndb.jvn.jp/ja/contents/2016/JVNDB-2016-002473.html http://jvndb.jvn.jp/ja/contents/2016/JVNDB-2016-002475.html http://jvndb.jvn.jp/ja/contents/2016/JVNDB-2016-002476.html http://jvndb.jvn.jp/ja/contents/2016/JVNDB-2016-002477.html <info> crypto/bn/bn_exp.c に問題が発見されました。<br/> ローカルユーザにより、被害者と同じ Intel Sandy Bridge CPU Core 上で巧妙に細工されたアプリケーションを実行され、キャッシュのバンクコンフリクトを引き起こされることで、RSA の鍵を取得される可能性があります。<br/> (CVE-2016-0702)<br/> <br/> crypto/dsa/dsa_ameth.c の dsa_priv_decode 関数に、メモリ二重解放の問題が発見されました。<br/> 第三者により、不正な形式の DSA 秘密鍵を介して、DoS (メモリ破損) 状態にされるなど、不特定の影響を受ける可能性があります。<br/> (CVE-2016-0705)<br/> <br/> crypto/bn/bn.h および crypto/bn/bn_print.c に問題が発見されました。<br/> 第三者により、DoS (ヒープメモリ破損またはNULL ポインタデリファレンス) 状態にされるなど、不特定の影響を受ける可能性があります。<br/> (CVE-2016-0797)<br/> <br/> SRP_VBASE_get_by_user の実装に問題が発見されました。<br/> メモリリークにより、DoS (メモリ消費) 状態にされる可能性があります。<br/> (CVE-2016-0798)<br/> <br/> crypto/bio/b_print.c に問題が発見されました。<br/> 第三者により、過度に長い文字列を介して、DoS (オーバーフローおよび out-of-bounds read) 状態にされるなど、不特定の影響を受ける可能性があります。<br/> (CVE-2016-0799)<br/> <br/> 遠隔の攻撃者に、SSLv2 をサポートしているサーバの暗号通信を解読される可能性があります。<br/> SSLv2 をサポートしており、TLS 通信で SSLv2 と同一の証明書を使用している場合、TLS の暗号通信であっても、同様の攻撃を受ける可能性があります。<br/> (CVE-2016-0800)<br/> <br/> crypto/evp/encode.c、crypto/evp/evp_enc.c に問題が発見されました。<br/> 第三者により、大量のバイナリデータを介して、DoS (ヒープメモリ破損) 状態にされる可能性があります。<br/> (CVE-2016-2105, 2016)<br/> <br/> AES-NI の実装に問題が発見されました。<br/> 第三者により、重要な平文情報を取得される可能性があります。<br/> 当問題は、CVE-2013-0169の修正が不完全だったことによる脆弱性です。<br/> (CVE-2016-2107)<br/> <br/> ASN.1 の実装に問題が発見されました。<br/> 第三者により、任意のコードを実行される、またはDoS(バッファアンダーフローおよびメモリ破損) 状態にされる可能性があります。<br/> 当問題は 1.0.1o で修正されています。<br/> (CVE-2016-2108)<br/> <br/> ASN.1 BIO の実装に問題が発見されました。<br/> 第三者により、DoS (メモリ消費) 状態にされる可能性があります。<br/> (CVE-2016-2109)<br/> <br/> crypto/x509/x509_obj.c に問題が発見されました。<br/> 第三者により、巧妙に細工された EBCDIC ASN.1 データを介して、プロセススタックメモリから重要な情報を取得される、またはDoS (バッファオーバーリード) 状態にされる可能性があります。<br/> (CVE-2016-2176)<br/> <br/> 今回の更新により openssl は 1.0.1t ベースにアップデートされます。<br/> <br/> CVE-2016-0800 の対策により SSLv2 プロトコルが無効化されています。<br/> これにより、以下のパッケージが同時に更新されます。<br/> <br/> apache2<br/> curl<br/> wget<br/> fetchmail (VinePlusパッケージ） <br/> <br/> <directory> Vine-6.3/updates/RPMS/i386 Vine-6.3/updates/RPMS/x86_64 <update> [ size ] [ SHA1 checksum ] [ file name ] 4570579 b43b151030ae67b7b5f9bf0efb9268a5c6e540f6 openssl-1.0.1t-1vl6.src.rpm 1832202 6945138fa95e5784cba8ef3a172b90319be9fc2e openssl-1.0.1t-1vl6.i686.rpm 1329945 8696d87531731b144258b4f5ea4eed07422469b3 openssl-devel-1.0.1t-1vl6.i686.rpm 28002 e5d3eefae0feaf606a3504a2eae69ada2b3ceece openssl-perl-1.0.1t-1vl6.i686.rpm 1139853 03e33d96f37752f89dfd2aea8acb7ad044065a69 openssl-static-1.0.1t-1vl6.i686.rpm 1952707 0780150343e8110b3377dff6628a7f5114ed5744 openssl-1.0.1t-1vl6.x86_64.rpm 1329967 47945efd8016e90420a5d31797695b6cc1212c20 openssl-devel-1.0.1t-1vl6.x86_64.rpm 27974 cdd7104c1c81114dfb1619d1fdea0c93f50252a5 openssl-perl-1.0.1t-1vl6.x86_64.rpm 1251819 1d11cc869d0ed863e2a30cd39e10e78c0ed05392 openssl-static-1.0.1t-1vl6.x86_64.rpm 977411 3664b677169e0b1a8a8fc44b1befac443e986ef6 compat32-openssl-1.0.1t-1vl6.i686.rpm 18296 743bdb3e8316866c5da3d5144a757f97d72ca094 compat32-openssl-devel-1.0.1t-1vl6.i686.rpm 5671635 76d8bbf81ae9fecf4bb13eb898ce6092b8ae55e4 apache2-2.2.31-2vl6.src.rpm 1250634 9f7c04c316803d70a5a4446778e87ae1400da194 apache2-2.2.31-2vl6.i686.rpm 155174 0aef6e1e4eba0d7fa4ecbbba7422eaa70c4990be apache2-devel-2.2.31-2vl6.i686.rpm 2920607 28337206060e7b636a93838d8a04af15ea326c9d apache2-manual-2.2.31-2vl6.i686.rpm 105873 11f21439bbcd3b29ca6a17f6493ea04a43117e2c mod_ssl-apache2-2.2.31-2vl6.i686.rpm 1276662 093b19b48b5d976493d6d63977ae5eac6c122373 apache2-2.2.31-2vl6.x86_64.rpm 155108 b87ae663049acc5a984c910dd5101134fde70852 apache2-devel-2.2.31-2vl6.x86_64.rpm 2920448 a906e3924596bb1f8533e6fce2468b8d02b027b4 apache2-manual-2.2.31-2vl6.x86_64.rpm 106035 1adb0123ee8cedd97c2add192777471c2c244c24 mod_ssl-apache2-2.2.31-2vl6.x86_64.rpm 2268755 4c6b5130373b1f511bc9b9c0981a831de2d47d75 curl-7.32.0-10vl6.src.rpm 599235 9aa67ef891852944c620b372cd2b9416c5c07f42 curl-7.32.0-10vl6.i686.rpm 209732 0211417a52355eaf627166c94bfdc4515e7d97bf curl-devel-7.32.0-10vl6.i686.rpm 593447 da804d586280bf015b73269973fe3f5a7343b91a curl-7.32.0-10vl6.x86_64.rpm 209673 f463811f58ec6f9bdd5d29fb606633794e3c45d4 curl-devel-7.32.0-10vl6.x86_64.rpm 205083 4fdae60ad4ff81c10e27b66e1c85d6e74a26b2bf compat32-curl-7.32.0-10vl6.i686.rpm 10563 585845f7996c3aaea31ae9b034057e49e299ef21 compat32-curl-devel-7.32.0-10vl6.i686.rpm 1603486 43a8fe9336f9ae5dae30e365ea0f04a00e30d783 wget-1.14-4vl6.src.rpm 821853 229ef9267d43294c61ea1588f161e2e91625678b wget-1.14-4vl6.i686.rpm 826532 7bb66f38a7b539562989d10c51ce96f39a3fe7ab wget-1.14-4vl6.x86_64.rpm