Бюллетень безопасности FreeBSD-SA-17:02.openssl (неофициальный перевод)

Первоисточник: https://www.freebsd.org/security/advisories/FreeBSD-SA-17:02.openssl.asc

Тема: Несколько уязвимостей OpenSSL
Категория: contrib
Модуль: openssl
Анонсировано: 23.02.2017
Влияет на: Все поддерживаемые версии FreeBSD.
Исправлено в: 2017-01-26 19:14:14 UTC (stable/11, 11.0-STABLE)
2017-02-23 07:11:48 UTC (releng/11.0, 11.0-RELEASE-p8)
2017-01-27 07:45:06 UTC (stable/10, 10.3-STABLE)
2017-02-23 07:12:18 UTC (releng/10.3, 10.3-RELEASE-p17)
CVE ID: CVE-2016-7055, CVE-2017-3731, CVE-2017-3732

Для получения общей информации о рекомендациях по безопасности FreeBSD, посетите https://security.FreeBSD.org/.

I. Общая информация

FreeBSD включает в себя программное обеспечение проекта OpenSSL. Проект OpenSSL это результат совместных усилий по разработке надежного и полнофункционального Open Source инструментария для реализации Secure Sockets Layer (SSL v2/v3) и Transport Layer Security (TLS v1) протоколов, в том числе в виде полноценных криптографических библиотек общего назначения.

II. Описание проблемы

Если SSL/TLS сервер или клиент запущен на 32-битном хосте и использует определенное шифрование, то получение поврежденного пакета может привести к чтению за пределами буфера, что обычно приводит к сбою. [CVE-2017-3731]

В процедуре x86_64 возведения в квадрат Монтгомери ошибка распространения переноса. EC алгоритмы не затронуты. Анализ показывает, что атаки на RSA и DSA, эксплуатирующие эту ошибку, будут очень трудными для выполнения и не считаются вероятными. Атаки на DH считаются очень сложными, но вероятными, поскольку большая часть работы, необходимой для получения информации о закрытом ключе, может выполняться в автономном режиме. Объем ресурсов, необходимых для такой атаки, будет очень значительным и, скорее всего, будет доступен только ограниченному числу злоумышленников. Кроме того, злоумышленнику необходим онлайн доступ к устаревшей системе используя целевой закрытый ключ в сценарии с постоянными параметрами DH и закрытым ключом, который используется совместно несколькими клиентами. [CVE-2017-3732]

Умножение Монтгомери может привести к неверным результатам. [CVE-2016-7055]

III. Влияние

Злоумышленник может удаленно вызвать сбой на серверах или клиентах, поддерживающих RC4-MD5. [CVE-2017-3731]

Злоумышленник может удаленно получить информацию о закрытом ключе, но для этого потребуется огромное количество ресурсов. [CVE-2017-3732, CVE-2016-7055]

IV. Временное решение

Временных решений нет.

V. Решение

Выполните одно из следующих действий:

1) Обновите вашу систему до поддерживаемой FreeBSD stable или release / releng версии, выпущенной датой после устранения уязвимости.

Перезапустите всех демонов, которые используют эту библиотеку, или перезагрузите систему.

2) Обновите систему бинарными патчами:

Системы с RELEASE версией FreeBSD на i386 и amd64 платформах могут быть обновлены утилитой freebsd-update.

# freebsd-update fetch
# freebsd-update install

Перезапустите всех демонов, которые используют эту библиотеку, или перезагрузите систему.

3) Обновите систему при помощи исходного кода патча:

Ниже указанные патчи будут добавлены в релизные ветки FreeBSD.

а) Загрузите соответствующий патч, используя ниже приведенные ссылки и проверьте PGP подпись, используя вашу утилиту PGP.

[FreeBSD 11.0]
# fetch https://security.FreeBSD.org/patches/SA-17:02/openssl-11.patch
# fetch https://security.FreeBSD.org/patches/SA-17:02/openssl-11.patch.asc
# gpg --verify openssl-11.patch.asc

[FreeBSD 10.3]
# fetch https://security.FreeBSD.org/patches/SA-17:02/openssl-10.patch
# fetch https://security.FreeBSD.org/patches/SA-17:02/openssl-10.patch.asc
# gpg --verify openssl-10.patch.asc

b) Примените патч, используя следующие команды под пользователем root:

# cd /usr/src
# patch < /path/to/patch

с) Перекомпилируйте операционную систему, используя buildworld и installworld, как описанно в https://www.FreeBSD.org/handbook/makeworld.html.

Перезапустите всех демонов, которые используют эту библиотеку, или перезагрузите систему.

VI. Сведения об исправлении

Список ниже содержит номера ревизий каждой из уязвимых ветвей FreeBSD.

Ветвь                                                             Ревизия
- -------------------------------------------------------------------------
stable/10/                                                        r312863
releng/10.3/                                                      r314125
stable/11/                                                        r312826
releng/11.0/                                                      r314126
 - -------------------------------------------------------------------------

Чтобы узнать, какие файлы были изменены в конкретной ревизии, запустите на машине с установленным Subversion указанную ниже команду, заменив NNNNNN на номер ревизии.

# svn diff -cNNNNNN --summarize svn://svn.freebsd.org/base

Или посетите следующий URL, заменив NNNNNN на номер ревизии:

URL: https://svnweb.freebsd.org/base?view=revision&revision=NNNNNN

Оставить комментарий