Alert GCSA-09001 - Vulnerabilita' in OpenSSL

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1


*****************************************************************************

      Alert ID : GCSA-09001
          Data : 08 Gennaio 2009
        Titolo : Vulnerabilita' in OpenSSL

*****************************************************************************


- - Descrizione del problema:

E' stata riscontrata una vulnerabilita' in OpenSSL che potrebbe essere 
sfruttata per condurre attacchi di tipo spoofing.

La vulnerabilita' e' causata da alcune funzioni OpenSSL che non verificano 
correttamente il valore della funzione "EVP_VerifyFinal()", durante la 
validazione della firma di chiavi DSA e ECDSA. Questa vulnerabilita' potrebbe 
essere sfruttata per aggirare il controllo della firma.

Per sfruttare la vulnerabilita' e' necessario che il server usi un certificato 
contenente una chiave DSA o ECDSA.


- - Piattaforme e Software interessati:

Versioni di OpenSSL precedenti la 0.9.8j .


- - Impatto:

Spoofing


- - Soluzione:

Aggiornare OpenSSL alla versione 0.9.8j :

http://openssl.org/source


- - Riferimenti:

OpenSSL:
http://www.openssl.org/news/secadv_20090107.txt

Secunia:
http://secunia.com/advisories/33338/

VuPen:
http://www.vupen.com/english/advisories/2009/0040

Mitre's CVE ID:
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-5077

-----BEGIN PGP SIGNATURE-----

iQCVAwUBSWcas/OB+SpikaiRAQKc/gQAxtF28PNVInmk0kS/k4SuxqrRUmUFZW2N
GEL10UULYKfzTgOdomupiuP/kZEF/AkvFq680D6i3xU/3p7uO2+mLR3DX2vaLJYk
HCZYUIR5/L6fvzct7/NlzpD+0AaAClOJsB4/lvi5+2TSA9w2EsJ1WHDCh/Rg3tA/
gp6/qxw/oik=
=WpTk
-----END PGP SIGNATURE-----