Обновление OpenSSL 1.0.1k, 1.0.0p, 0.9.8zd и StrongSwan 5.2.2 с устранением уязвимостей
8 января 2015 года
Доступны корректирующие выпуски OpenSSL 1.0.1k, 1.0.0p и 0.9.8zd в которых устранено 8 уязвимостей, из которых 6 помечены как неопасные, а двум уязвимостям присвоен умеренный уровень опасности. Проблема CVE-2014-3571 позволяет инициировать крах процесса из-за разыменования указателя NULL при обработке специально оформленных сообщений DTLS. Проблема CVE-2015-0206 может привести к исчерпанию доступной для процесса памяти при обработке потока записей DTLS с одинаковыми номерами последовательности.
Дополнительно можно отметить обновление strongSwan 5.2.2, свободного пакета для создания VPN-соединений на базе протокола IPsec, используемого в Linux, Android, FreeBSD и Mac OS X. В новой версии устранена уязвимость (CVE-2014-9221), которую можно использовать для инициирования краха демона IKE через отправку специально оформленного IKE_SA_INIT запроса с указанием значения 1025 в качестве номера группы DH (Diffie-Hellman).
Кроме того, можно упомянуть заслуживающую внимания заметку одного из разработчиков Libreswan о безопасности IPsec, в свете недавней утечки информации об успешных атаках АНБ на IPsec. В заметке делается вывод, что особого повода для беспокойства нет и можно смело продолжать использование IPsec и IKE, если используются корректные настройки и в операционной системе соблюдены базовые требования к обеспечению безопасности (атаки АНБ основаны на краже ключей или атаке на заведомо небезопасные алгоритмы шифрования).
Источники
