OpenSSL-utvecklingsgruppen rapporterar att en säkerhetsgenomgång utförd av A.L Digital Ltd och The Bunker, i DARPA CHATS-programmet, har avslöjat buffertspilltillstånd i OpenSSL-koden som kan utnyttjas utifrån. Dessutom har ASN1-tolken i OpenSSL en möjlig överbelastningsattack som oberoende hittades av Adi Stav och James Yonan.
CAN-2002-0655 beskriver buffertar som används för att lagra ASCII-representationer av heltal på 64-bitarsplattformar. CAN-2002-0656 beskriver buffertspill i implementationen av SSL2-server (genom att sända en ogiltig nyckel till servern) och implementationen av SSL3-klient (genom att sända en stor sessions-id till klienten). SSL2-problemet upptäcktes även av Neohapsis, som privat har uppvisat kod som utnyttjar detta problem. CAN-2002-0659 beskriver problemet med överbelastningsattacken i ASN1-tolken.
Dessa sårbarheter har rättats för Debian 3.0 (Woody) i openssl094_0.9.4-6.woody.2, openssl095_0.9.5a-6.woody.1 samt +openssl_0.9.6c-2.woody.1.
Sårbarheterna är även närvarande i Debian 2.2 (Potato). Rättade paket är tillgängliga i openssl094_0.9.4-6.potato.2 och openssl_0.9.6c-0.potato.4.
En mask utnyttjar aktivt detta problem på Internetanslutna värdar; vi rekommenderar att ni uppgraderar er OpenSSL så fort som möjligt. Observera att du bör starta om alla servrar som kör SSL (t.ex ssh eller Apache med ssl-stöd). Om du är osäker på vilka program som använder SSL kan du välja att starta om datorn för att försäkra dig om att alla aktiva servrar använder de nya biblioteken.
MD5-kontrollsummor för dessa filer finns i originalbulletinen.
MD5-kontrollsummor för dessa filer finns i reviderade bulletinen.
MD5-kontrollsummor för dessa filer finns i reviderade bulletinen.