Todas as versões do Ubuntu são seguras contra ataques DROWN?

9

OpenSSLatualiza as versões 1.0.2g e 1.0.1s para corrigir a vulnerabilidade DROWN ( CVE-2016-0800 ). No Ubuntu 14.04 LTS Trusty Tahr, a OpenSSLversão mais recente é 1.0.1f-1ubuntu2.18 . Entendi corretamente que as correções DROWN não foram suportadas para o Trusty? As correções do DROWN precisam ser incorporadas a qualquer versão do Ubuntu?

security openssl talamaki
fonte
ubuntu.com/usn/usn-2914-1 tudo pronto.
Arup Roy Chowdhury
@ArupRoyChowdhury que a atualização não está mencionando o CVE-2016-0800, mas os seguintes: CVE-2016-0702, CVE-2016-0705, CVE-2016-0797, CVE-2016-0798, CVE-2016-0799
talamaki
5
Possível duplicata de Como posso saber se um CVE foi corrigido nos repositórios do Ubuntu?
muru 4/03/16
DROWN é um problema antigo - afeta o SSLv2. O SSLv2 está desativado no Ubuntu OpenSSL.
Thomas Ward

Respostas:

17

CVE-2016-0800 :

Prioridade Média

Descrição

O protocolo SSLv2, conforme usado no OpenSSL antes da 1.0.1s e 1.0.2 antes da 1.0.2g e de outros produtos, exige que um servidor envie uma mensagem ServerVerify antes de estabelecer que um cliente possui determinados dados RSA em texto sem formatação, o que facilita para invasores remotos descriptografar os dados de texto cifrado TLS usando um oráculo de preenchimento Bleichenbacher RSA, também conhecido como ataque "DROWN".

Package
Source: openssl098 (LP Ubuntu Debian)
Upstream:   needs-triage
Ubuntu 12.04 LTS (Precise Pangolin):    not-affected
Ubuntu 14.04 LTS (Trusty Tahr): not-affected
Ubuntu Touch 15.04: DNE
Ubuntu Core 15.04:  DNE
Ubuntu 15.10 (Wily Werewolf):   DNE
Ubuntu 16.04 (Xenial Xerus):    DNE

Package
Source: openssl (LP Ubuntu Debian)
Upstream:   needs-triage
Ubuntu 12.04 LTS (Precise Pangolin):    not-affected
Ubuntu 14.04 LTS (Trusty Tahr): not-affected
Ubuntu Touch 15.04: not-affected
Ubuntu Core 15.04:  not-affected
Ubuntu 15.10 (Wily Werewolf):   not-affected
Ubuntu 16.04 (Xenial Xerus):    not-affected
  • DNE = não existe
  • O Ubuntu não é afetado por esse problema.
Rinzwind
fonte