ASN.1のデコード機能を修正したOpenSSLのアップデート パッケージ

バグフィックス・アドバイス

概要:

Red Hat Enterprise Linux 3用のOpenSSLのアップデート パッケージが利用可能になりました。このアップデートでは、64ビット プラットフォームに影響するOpenSSLのASN.1の解析コードのバグが修正されます。

OpenSSLは、Secure Sockets Layer（セキュア ソケット レイヤー：SSL v2/v3）プロトコルとTransport Layer Security（転送レイヤー セキュリティ：TLS v1）プロトコル、および強力な汎用暗号化ライブラリを実装した商用グレードでフル機能のオープン ソース ツールキットです。

エンコードされたデータを構文解析してUTF-8文字列にデコードする際（PKCS12形式の証明書を読むときなどに必要となることのある作業です）、OpenSSLがメモリ中で「long」型の変数の中身を「int」型の変数で上書きしてしまう可能性があります。

32ビット プラットフォームではこの2つの型は同じサイズなので問題はありません。64ビット プラットフォームでは「long」型変数は「int」型変数よりもサイズが大きいことが多く、「int」型の値が格納されている位置に「long」型の値を書き込むと、隣のメモリ領域が誤って破壊されてしまいます。システム アーキテクチャのスタックのレイアウトによっては、アプリケーションのヒープ領域を破壊する可能性があります。

アップデート・パッケージ:

解決法:

rpm -Fvh [filename]

[filename] は、アップデートしたいRPMのファイル名です。現在インストールされているパッケージのみ、アップグレードされます。現在いるディレクトリにインストールしたいRPM *しか* 無い場合には、 ワイルドカード (*.rpm) も使うことができます。
このアップデートは、Red Hat Network 経由でも行なえます。アップデートを適用する非常に簡便な方法です。Red hat Network をご利用になるには、以下のコマンドで、アップデートエージェントを起動してください。

up2date

このコマンドで、システムに適切なRPMをアップグレードする対話形式のプロセスを起動します。

バグジラ:  (詳細は、こちらbugzilla[英語]を御覧ください。)

106238 - OpenSSL may corrupt its own stack

キーワード:

ASN.1, ASN1, UTF-8

各パッケージを確認するには次のコマンドをご利用ください: rpm --checksig filename

各パッケージが壊れていないか、もしくは改ざんされていないかを確認するには、以下のコマンドで MD5 チェックサムをお調べください: rpm --checksig --nogpg filename

注意: GnuPG キーをチェックするためには、RPM 3.0 以上が必要です。