1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
|
#use wml::debian::translation-check translation="793ef2aaf7ac1e7953d45aed262afca75ae7986e"
<define-tag description>varias vulnerabilidades</define-tag>
<define-tag moreinfo>
<p>Los investigadores descubrieron dos debilidades en OpenSSL, una
biblioteca de la capa de sockets seguros (SSL) y herramientas de cifrado
relacionadas. Las aplicaciones enlazadas con esta biblioteca suelen ser
vulnerables a ataques que podían filtrar la clave privada del servidor o
en otros casos, descifrar las sesiones de cifrado. El proyecto CVE
(Vulnerabilidades y Exposiciones Comunes) identificó las siguientes
vulnerabilidades.</p>
<dl>
<dt><a href="https://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2003-0147">CAN-2003-0147</a></dt>
<dd>
OpenSSL no utilizaba el oscurecimiento (blinding) por defecto, que
permitía a los atacantes locales y remotos obtener la clave privada del
servidor.</dd>
<dt><a href="https://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2003-0131">CAN-2003-0131</a></dt>
<dd>
SSL permitía a los atacantes remotos realizar una operación de clave
privada RSA no autorizada que causaba que OpenSSL revelara información
concerniente a la relación entre el texto cifrado y el texto en claro
asociado.</dd>
</dl>
<p>Para la distribución estable (woody), estos problemas se han corregido
en la versión 0.9.6c-2.woody.3.</p>
<p>Para la distribución estable anterior (potato), estos problemas se han
corregido en la versión 0.9.6c-0.potato.6.</p>
<p>Para la distribución inestable (sid), estos problemas se han corregido
en la versión 0.9.7b-1 de openssl y en la versión 0.9.6j-1 de
openssl096.</p>
<p>Le recomendamos que actualice los paquetes de openssl inmediatamente y
reinicie las aplicaciones que usan OpenSSL.</p>
<p>Desafortunadamente, el oscurecimiento (blinding) RSA no es seguro con
hilos y causará fallos en programas que usen hilos y OpenSSL como stunnel.
Sin embargo, ya que la corrección propuesta cambiaría el interfaz binario
(ABI), los programas que se enlazaran dinámicamente con OpenSSL no
volverían a funcionar. Éste es un dilema que no podemos resolver.</p>
<p>Tendrá que decidir si quiere la actualización de seguridad no segura con
hilos y recompilar todas las aplicaciones que aparentemente fallarán tras
la actualización o coger todos los paquetes fuente adicionales que se
mencional al final de este aviso, recompilarlos y usar de nuevo una
biblioteca OpenSSL segura con hilos, así como recompilar todas las
aplicaciones que los utilizan (como apache-ssl, mod_ssl, ssh, etc.).</p>
<p>Sin embargo, ya que sólo unos cuantos paquetes usan hilos y se enlazan
con la biblioteca OpenSSL, la mayoría de usuarios podrán usar los paquetes
de esta actualización sin mayor problema.</p>
</define-tag>
# do not modify the following line
#include "$(ENGLISHDIR)/security/2003/dsa-288.data"
|
