中（Moderate）：opensslのセキュリティアップデート

セキュリティ問題を修正したOpenSSLのアップデートパッケージがRed Hat Enterprise Linux 2.1および3で利用可能になりました。

このアップデートは、レッドハットセキュリティ対策チームによって、深刻度「中（Moderate）」のセキュリティ問題と評価されています。

OpenSSLは、セキュアソケットレイヤー（SSL v2/v3）プロトコルと転送レイヤーセキュリティ（TLS v1）プロトコル、およびフル機能の汎用暗号化ライブラリを実装するツールキットです。

SSL_get_shared_ciphers()ユーティリティ関数で欠陥が見つかりました。関数を使用したアプリケーションに暗号リストを送信することにより、バッファを1バイトだけでオーバーフローさせることが可能性です（CVE-2007-5135）。アプリケーションでこの脆弱性のある関数が使用されることはほとんどありません。通常、この関数が使用されるのは、アプリケーションがデバッグ用にコンパイルされたときだけです。

OpenSSLに影響するサイドチャネル攻撃の可能性が多数発見されました。悪意を持ってローカルから、システムで使用されているRSAプライベートキーを取得する可能性があります。実際には、ラボ環境外でこれらの攻撃を実行することは困難です。このアップデートには、これらの問題を緩和するためのバックポートパッチが含まれています。（CVE-2007-3108）。

OpenSSLのユーザは、これらの問題を解決するバックポートパッチを含む上記アップデートパッケージにアップグレードしてください。

注：このアップデートをインストールしたら、OpenSSLを使用するサービスをすべて再起動するか、システムを再起動してください。

このアップデートを適用する前に、ご使用のシステムに関係するリリース済みのエラータ/Errataがすべて適用されていることを確認してください。

このアップデートは、Red Hat Networkを通じて入手できます。

245732 - CVE-2007-3108 RSA side-channel attack
250573 - CVE-NONE openssl branch prediction attacks
309801 - CVE-2007-5135 openssl SSL_get_shared_ciphers() off-by-one

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-3108
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-5135
http://www.redhat.com/security/updates/classification/#moderate