Vulnerabilidade identificada no OpenSSL em Debian

Categoria: Alertas

quinta, 15 maio 2008 11:52

Sistemas Operativos Implicados:	Linux
Aplicações Implicadas:	SSL/TSL

Foi identificada uma vulnerabilidade específica ao Sistema Operativo Debian (que não afecta outros sistemas operativos não baseados em Debian - pelo menos directamente) relacionada com o OpenSSL. Deste modo, a Debian disponibilizou uma actualização para a aplicação afectada. Esta actualização vem corrigir algumas vulnerabilidades que podem ser exploradas por pessoas mal intencionadas criando problemas de segurança que podem levar a compromissos de chaves e material criptográfico (informação codificada).

I. Descrição

O problema de segurança identificado é causado pela previsibilidade dos números aleatórios gerados pelo OpenSSL no Debian. Isto pode resultar na geração de material criptográfico “fraco”, por exemplo chaves de SSH, chaves de OpenSSL, chaves de DNSSEC, chaves utilizadas em certificados X.509 e chaves de sessão utilizadas em ligações SSL/TLS.

Este falha de segurança foi reportada em versões acima da 0.9.8c-1 (inclusive) das distribuições OpenSSL do Debian e afecta todo o material de chaves geradas com distribuições afectadas.

II. Solução

Aplicar distribuições actualizadas e recriar todo o material de chaves criptográficas.

III. Referências

Secunia:
http://secunia.com/advisories/30220/

Debian:
http://lists.debian.org/debian-security-announce/2008/msg00152.html