[ORCA-ANNOUNCE:02013] セキュリティ情報◆[OSA 2010-012] w3m

[ORCAプロジェクト上でのお知らせ <orca-announce@xxxxxxxxxxxxxx>]

ORCAサポートセンタです。いつもお世話になっています。

本日、下記、セキュリティアップデートパッケージを提供しました。
---------------------------------------------------------------------------
ORCA Project Security Advisory OSA 2010-012  security _at_ orca.med.or.jp
http://www.orca.med.or.jp/orca/security/                       2010/08/18
---------------------------------------------------------------------------

Package         : w3m
Vulnerability   : 証明書検証エラー
Problem type    : (ローカル) リモート
Debian-specific : いいえ
CVE ID          : CVE-2010-2074

テキストウェブブラウザのw3mは、ssl_verify_serverを有効にしている場合、
(1) Subject's Common Nameか(2)Subject Alternative Nameフィールドに「\0」
が含まれるドメイン名があると正しく扱えない脆弱性があります。
これにより、不正なSSLサーバ証明書を受け入れ、Man-in-the-middle攻撃を受
ける可能性があります。

この修正では、SSLv2の無効化、ssl_verify_serverをデフォルト有効にしています。

ディストリビューション(etch)では、この問題はバージョン  0.5.1-5.2etch.orca1 
で修正されています。

直ぐにパッケージをアップグレードすることを勧めます。

アップグレード手順
------------------
ORCAプロジェクトで提供するセキュリティアップデートパッケージを入手するには、
/etc/apt/sources.listファイルに以下の行を追加してください。

  deb http://ftp.orca.med.or.jp/pub/etch-updates etch main contrib non-free

  apt-get パッケージマネージャを用いている場合には、上記の行を sources.list に加えて、

  apt-get update
          を実行して内部データベースを更新し、
  apt-get upgrade
    によって修正されたパッケージをインストールしてください。

Debian GNU/Linux 4.0 alias etch
---------------------------------
ソースアーカイブ:

   http://ftp.orca.med.or.jp/pub/etch-updates/pool/main/w/w3m/w3m_0.5.1-5.2etch.orca1.dsc
      Size/MD5 checksum: 516 d6f9e00706ad99293f0c56af1bf9422d
   http://ftp.orca.med.or.jp/pub/etch-updates/pool/main/w/w3m/w3m_0.5.1.orig.tar.gz
      Size/MD5 checksum: 1892121 0678b72e07e69c41709d71ef0fe5da13
   http://ftp.orca.med.or.jp/pub/etch-updates/pool/main/w/w3m/w3m_0.5.1-5.2etch.orca1.diff.gz
      Size/MD5 checksum: 2027589 6dca801a541f6fea46b7e945f0221b82

Intel IA-32 アーキテクチャ:

   http://ftp.orca.med.or.jp/pub/etch-updates/pool/main/w/w3m/w3m_0.5.1-5.2etch.orca1_i386.deb
      Size/MD5 checksum: 1103216 687ce9d8b6a4400b66928d293edd939a
   http://ftp.orca.med.or.jp/pub/etch-updates/pool/main/w/w3m/w3m-img_0.5.1-5.2etch.orca1_i386.deb
      Size/MD5 checksum: 95682 4e219643aa431d48a6bc4eeb5bad8cb7

これらのファイルは次のアップデートがリリースされると削除されます。

--
ORCA Support Center/JMARI/JMA
http://www.orca.med.or.jp/support/qa/support_form.rhtml
T: 03-5319-4605 D-FAX: 020-4623-1358