Sind alle Versionen von Ubuntu gegen DROWN-Angriffe geschützt?

9

OpenSSLAktualisiert die Release-Versionen 1.0.2g und 1.0.1s , um die DROWN-Sicherheitsanfälligkeit zu beheben ( CVE-2016-0800 ). In Ubuntu 14.04 LTS Trusty Tahr ist die neueste OpenSSLVersion 1.0.1f-1ubuntu2.18 . Verstehe ich es richtig, dass DROWN-Fixes nicht auf Trusty zurückportiert wurden? Müssen DROWN-Fixes in Ubuntu-Versionen integriert werden?

security openssl Talamaki
quelle
ubuntu.com/usn/usn-2914-1 alles erledigt.
Arup Roy Chowdhury
@ArupRoyChowdhury In diesem Update wird CVE-2016-0800 nicht erwähnt, aber diese: CVE-2016-0702, CVE-2016-0705, CVE-2016-0797, CVE-2016-0798, CVE-2016-0799
Talamaki
5
Mögliches Duplikat von Wie kann ich feststellen, ob ein CVE in den Ubuntu-Repositorys behoben wurde?
Muru
DROWN ist ein altes Problem - betrifft SSLv2. SSLv2 ist in Ubuntu OpenSSL deaktiviert.
Thomas Ward

Antworten:

17

CVE-2016-0800 :

Prioritätsmedium

Beschreibung

Das SSLv2-Protokoll, wie es in OpenSSL vor 1.0.1s und 1.0.2 vor 1.0.2g und anderen Produkten verwendet wird, erfordert, dass ein Server eine ServerVerify-Nachricht sendet, bevor festgestellt wird, dass ein Client über bestimmte Klartext-RSA-Daten verfügt, was es für Angreifer aus der Ferne einfacher macht Entschlüsseln von TLS-Chiffretextdaten durch Nutzung eines Bleichenbacher RSA-Padding-Orakels, auch bekannt als "DROWN" -Angriff.

Package
Source: openssl098 (LP Ubuntu Debian)
Upstream:   needs-triage
Ubuntu 12.04 LTS (Precise Pangolin):    not-affected
Ubuntu 14.04 LTS (Trusty Tahr): not-affected
Ubuntu Touch 15.04: DNE
Ubuntu Core 15.04:  DNE
Ubuntu 15.10 (Wily Werewolf):   DNE
Ubuntu 16.04 (Xenial Xerus):    DNE

Package
Source: openssl (LP Ubuntu Debian)
Upstream:   needs-triage
Ubuntu 12.04 LTS (Precise Pangolin):    not-affected
Ubuntu 14.04 LTS (Trusty Tahr): not-affected
Ubuntu Touch 15.04: not-affected
Ubuntu Core 15.04:  not-affected
Ubuntu 15.10 (Wily Werewolf):   not-affected
Ubuntu 16.04 (Xenial Xerus):    not-affected
  • DNE = existiert nicht
  • Ubuntu ist von diesem Problem nicht betroffen.
Rinzwind
quelle