1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
|
<define-tag description>ASN.1-fortolkningssårbarhed</define-tag>
<define-tag moreinfo>
<p>Steve Henson fra OpenSSLs kernegruppe har fundet og rettet et antal
sårbarheder i ASN1-koden i OpenSSL, som blev opdaget efter et testværktøj fra
British National Infrastructure Security Coordination Centre (NISCC) blev
kørt.</p>
<p>En fejl i OpenSSLs SSL/TLS-protokol blev også fundet; den får OpenSSL til at
fortolke et klientcertifikat fra en SSL/TLS-klient, hvor den skulle afvise det
som en protokolfejl.</p>
<p>Projektet Common Vulnerabilities and Exposures har fundet frem til følgende
problemer:</p>
<ul>
<li><a href="https://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2003-0543">\
CAN-2003-0543</a>:
<p>Heltalsoverløb i OpenSSL, som gør det muligt for fjernangribere at forsage
et lammelsesangreb (crash) via et SSL-klientcertifikat med visse
ASN.1-mærkeværdier (tag values).</p>
<li><a href="https://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2003-0544">\
CAN-2003-0544</a>:
<p>OpenSSL holder ikke godt nok styr på antallet af tegn i visse former for
ASN.1-inddata, hvilket gør det muligt for fjernangribere at foresage et
lammelsesangreb (crash) via et SSL-klientcertifkat, der får OpenSSL til at læse
forbi slutningen af en buffer, når den lange form anvendes.</p>
<li><a href="https://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2003-0545">\
CAN-2003-0545</a>:
<p>Dobbelt frigivelses-sårbarhed, der gør det muligt for fjernangribere at
forsage et lammelsesangreb (crash) og muligvis udføre vilkårlig kode via et
SSL-klientcertifikat med en given, forkert ASN.1-indkapsling. Denne fejl
findes kun i OpenSSL 0.9.7 og er kun anført her som reference.</p>
</ul>
<p>I den stabile distribution (woody) er dette problem rettet i openssl095
version 0.9.5a-6.woody.3.</p>
<p>Denne pakke findes ikke i distributionerne unstable (sid) eller testing
(sarge).</p>
<p>Vi anbefaler at du opgraderer dine libssl095a-pakker og genstarter services,
der anvender dette bibliotek. Debian distribuerer ingen pakker, som er lænket
til dette bibliotek.</p>
<p>Med følgende kommando (tak til Ray Dassen), fremstilles en liste over navne,
der kører processer, som har libssl095 i deres hukommelsesområde:</p>
<pre>
find /proc -name maps -exec egrep -l 'libssl095' {} /dev/null \; \
| sed -e 's/[^0-9]//g' | xargs --no-run-if-empty ps --no-headers -p | \
sed -e 's/^\+//' -e 's/ \+/ /g' | cut -d ' ' -f 5 | sort | uniq
</pre>
<p>Du bør genstarte de tilknyttede services.</p>
</define-tag>
# do not modify the following line
#include "$(ENGLISHDIR)/security/2003/dsa-394.data"
#use wml::debian::translation-check translation="793ef2aaf7ac1e7953d45aed262afca75ae7986e" mindelta="1"
|
