Skip to content

サポート   >  セキュリティー&アップデート/ERRATA

中（Moderate）：openssl096bのセキュリティアップデート

アドバイスID: RHSA-2005:830-04
最終更新日: 2005-11-02
影響のあるプロダクト: Red Hat Desktop (v. 3)
Red Hat Desktop (v. 4)
Red Hat Enterprise Linux AS (v. 3)
Red Hat Enterprise Linux AS (v. 4)
Red Hat Enterprise Linux ES (v. 3)
Red Hat Enterprise Linux ES (v. 4)
Red Hat Enterprise Linux WS (v. 3)
Red Hat Enterprise Linux WS (v. 4)
CVEs (cve.mitre.org): CVE-2004-0079

Security Advisory   セキュリティ・アドバイス

概要:

リモートのサービス拒否を引き起こす脆弱性を修正したOpenSSL096b互換アップデートパッケージが利用可能になりました。

このアップデートは、レッドハットセキュリティ対策チームによって、深刻度「中（Moderate）」のセキュリティ問題と評価されています。

OpenSSLツールキットは、セキュアソケットレイヤー（SSL v2/v3）プロトコルと転送レイヤーセキュリティ（TLS v1）プロトコルを実装し、フル機能の汎用暗号化ライブラリとして機能します。Red Hat Enterprise Linux 3および4にはOpenSSL 0.9.6bライブラリが提供され、旧式のアプリケーションとの互換性が確保されています。

OpenSSLグループによりCodenomicon TLSテストツールを使用して実施されたテストによって、do_change_cipher_spec()関数でのnullポインタの割り当てが明らかになりました。リモート攻撃者がOpenSSLライブラリを使用しているサーバに対して巧妙に作成されたSSL/TLSハンドシェイクを実行することにより、OpenSSLをクラッシュさせる可能性があります。サーバによっては、これによりサービス拒否が発生します。（CVE-2004-0079）

この問題は0.9.6cより前のOpenSSLバージョンには影響しないと報告され、Codenomiconテストツールによるテストでも、Red Hat Enterprise Linux 3および4に互換ライブラリとして付属するOpenSSL 0.9.6bはクラッシュしないことが示されていました。ところが、別の再現テストにより、この問題が実は0.9.6cより前のバージョンのOpenSSLに影響することがわかりました。

Red Hat Enterprise Linux 3または4には、これらの互換ライブラリを使用するアプリケーションは付属していません。

OpenSSL096b互換パッケージのユーザは、OpenSSLグループにより提供された、この問題から保護するパッチを含む上記アップデートパッケージにアップグレードしてください。

アップデート・パッケージ:

Red Hat Desktop (v. 3)
SRPMS:
openssl096b-0.9.6b-16.42.src.rpm     50ad02ad6fb78f4b23f595caeeca9413
 
IA-32:
openssl096b-0.9.6b-16.42.i386.rpm     e4fca853e3b159453813f3b6ad9da041
 
x86_64:
openssl096b-0.9.6b-16.42.i386.rpm     e4fca853e3b159453813f3b6ad9da041
openssl096b-0.9.6b-16.42.x86_64.rpm     b74da4a6998851214c751c074b07f6ca
 
Red Hat Desktop (v. 4)
SRPMS:
openssl096b-0.9.6b-22.42.src.rpm     87764837c37b72897a99cea4a555fc76
 
IA-32:
openssl096b-0.9.6b-22.42.i386.rpm     a740d87afa3309f0d19b177c8b9bb09d
 
x86_64:
openssl096b-0.9.6b-22.42.i386.rpm     a740d87afa3309f0d19b177c8b9bb09d
openssl096b-0.9.6b-22.42.x86_64.rpm     291c137c181fce02fda11523027b8835
 
Red Hat Enterprise Linux AS (v. 3)
SRPMS:
openssl096b-0.9.6b-16.42.src.rpm     50ad02ad6fb78f4b23f595caeeca9413
 
IA-32:
openssl096b-0.9.6b-16.42.i386.rpm     e4fca853e3b159453813f3b6ad9da041
 
IA-64:
openssl096b-0.9.6b-16.42.i386.rpm     e4fca853e3b159453813f3b6ad9da041
openssl096b-0.9.6b-16.42.ia64.rpm     4c273f57f6fdfd14d8ff524037cbeef4
 
PPC:
openssl096b-0.9.6b-16.42.ppc.rpm     c2bc9f3fa590e7a9ed94a168f3f5cb3d
 
s390:
openssl096b-0.9.6b-16.42.s390.rpm     e464c40f299530262a953501e7ac9469
 
s390x:
openssl096b-0.9.6b-16.42.s390.rpm     e464c40f299530262a953501e7ac9469
 
x86_64:
openssl096b-0.9.6b-16.42.i386.rpm     e4fca853e3b159453813f3b6ad9da041
openssl096b-0.9.6b-16.42.x86_64.rpm     b74da4a6998851214c751c074b07f6ca
 
Red Hat Enterprise Linux AS (v. 4)
SRPMS:
openssl096b-0.9.6b-22.42.src.rpm     87764837c37b72897a99cea4a555fc76
 
IA-32:
openssl096b-0.9.6b-22.42.i386.rpm     a740d87afa3309f0d19b177c8b9bb09d
 
IA-64:
openssl096b-0.9.6b-22.42.i386.rpm     a740d87afa3309f0d19b177c8b9bb09d
openssl096b-0.9.6b-22.42.ia64.rpm     1d9aac84065f8de480c9c83d12c9bc3c
 
PPC:
openssl096b-0.9.6b-22.42.ppc.rpm     6fb51e41445470772b1afac87405283d
 
s390:
openssl096b-0.9.6b-22.42.s390.rpm     776e47d982ba98f3c612ed236d179aa0
 
s390x:
openssl096b-0.9.6b-22.42.s390.rpm     776e47d982ba98f3c612ed236d179aa0
 
x86_64:
openssl096b-0.9.6b-22.42.i386.rpm     a740d87afa3309f0d19b177c8b9bb09d
openssl096b-0.9.6b-22.42.x86_64.rpm     291c137c181fce02fda11523027b8835
 
Red Hat Enterprise Linux ES (v. 3)
SRPMS:
openssl096b-0.9.6b-16.42.src.rpm     50ad02ad6fb78f4b23f595caeeca9413
 
IA-32:
openssl096b-0.9.6b-16.42.i386.rpm     e4fca853e3b159453813f3b6ad9da041
 
IA-64:
openssl096b-0.9.6b-16.42.i386.rpm     e4fca853e3b159453813f3b6ad9da041
openssl096b-0.9.6b-16.42.ia64.rpm     4c273f57f6fdfd14d8ff524037cbeef4
 
x86_64:
openssl096b-0.9.6b-16.42.i386.rpm     e4fca853e3b159453813f3b6ad9da041
openssl096b-0.9.6b-16.42.x86_64.rpm     b74da4a6998851214c751c074b07f6ca
 
Red Hat Enterprise Linux ES (v. 4)
SRPMS:
openssl096b-0.9.6b-22.42.src.rpm     87764837c37b72897a99cea4a555fc76
 
IA-32:
openssl096b-0.9.6b-22.42.i386.rpm     a740d87afa3309f0d19b177c8b9bb09d
 
IA-64:
openssl096b-0.9.6b-22.42.i386.rpm     a740d87afa3309f0d19b177c8b9bb09d
openssl096b-0.9.6b-22.42.ia64.rpm     1d9aac84065f8de480c9c83d12c9bc3c
 
x86_64:
openssl096b-0.9.6b-22.42.i386.rpm     a740d87afa3309f0d19b177c8b9bb09d
openssl096b-0.9.6b-22.42.x86_64.rpm     291c137c181fce02fda11523027b8835
 
Red Hat Enterprise Linux WS (v. 3)
SRPMS:
openssl096b-0.9.6b-16.42.src.rpm     50ad02ad6fb78f4b23f595caeeca9413
 
IA-32:
openssl096b-0.9.6b-16.42.i386.rpm     e4fca853e3b159453813f3b6ad9da041
 
IA-64:
openssl096b-0.9.6b-16.42.i386.rpm     e4fca853e3b159453813f3b6ad9da041
openssl096b-0.9.6b-16.42.ia64.rpm     4c273f57f6fdfd14d8ff524037cbeef4
 
x86_64:
openssl096b-0.9.6b-16.42.i386.rpm     e4fca853e3b159453813f3b6ad9da041
openssl096b-0.9.6b-16.42.x86_64.rpm     b74da4a6998851214c751c074b07f6ca
 
Red Hat Enterprise Linux WS (v. 4)
SRPMS:
openssl096b-0.9.6b-22.42.src.rpm     87764837c37b72897a99cea4a555fc76
 
IA-32:
openssl096b-0.9.6b-22.42.i386.rpm     a740d87afa3309f0d19b177c8b9bb09d
 
IA-64:
openssl096b-0.9.6b-22.42.i386.rpm     a740d87afa3309f0d19b177c8b9bb09d
openssl096b-0.9.6b-22.42.ia64.rpm     1d9aac84065f8de480c9c83d12c9bc3c
 
x86_64:
openssl096b-0.9.6b-22.42.i386.rpm     a740d87afa3309f0d19b177c8b9bb09d
openssl096b-0.9.6b-22.42.x86_64.rpm     291c137c181fce02fda11523027b8835
 
(The unlinked packages above are only available from the Red Hat Network)

解決法:

このアップデートを適用する前に、システムに関連するリリース済の errata が適用済であることをご確認ください。
それぞれのアーキテクチャで全てのRPMをアップデートするには、以下のコマンドを実行してください：

rpm -Fvh [filename]

[filename] は、アップデートしたいRPMのファイル名です。現在インストールされているパッケージのみ、アップグレードされます。現在いるディレクトリにインストールしたいRPM *しか* 無い場合には、 ワイルドカード (*.rpm) も使うことができます。
このアップデートは、Red Hat Network 経由でも行なえます。アップデートを適用する非常に簡便な方法です。Red hat Network をご利用になるには、以下のコマンドで、アップデートエージェントを起動してください。

up2date

このコマンドで、システムに適切なRPMをアップグレードする対話形式のプロセスを起動します。

バグジラ:  (詳細は、こちらbugzilla[英語]を御覧ください。)

172094 - CVE-2004-0079 OpenSSL remote DoS

参照:

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2004-0079

ここに在るパッケージはセキュリティの為、 Red Hat, Inc. によって、 GPG 認証されています。キーは以下から利用可能になっています:
http://www.redhat.com/about/contact.html

各パッケージを確認するには次のコマンドをご利用ください: rpm --checksig filename
各パッケージが壊れていないか、もしくは改ざんされていないかを確認するには、以下のコマンドで MD5 チェックサムをお調べください: rpm --checksig --nogpg filename
注意: GnuPG キーをチェックするためには、RPM 3.0 以上が必要です。