Gentoo ssl-cert eclass信息泄露漏洞

BUGTRAQ ID: 28350
CVE(CAN) ID: CVE-2008-1383

Gentoo Linux是一套通用的、快捷的、完全免费的Linux版本，面向开发人员和专业网络人员。

Gentoo Linux的ssl-cert.eclass实现上存在漏洞，本地攻击者可能利用此漏洞非授权获取信息。

在ssl-cert.eclass中，docert函数用于生成SSL密钥和SSL证书。如果在src_compile或src_install中使用了docert函数，SSL密钥就会包含在不受保护的binpkg中，任何可以访问系统的用户都可以解压tarball恢复密钥。如果要利用这个漏洞，攻击者必须能够访问使用–buildpkg或–buildpkgonly选项编译的二进制软件包。

Gentoo Linux
临时解决方法：

• 不要使用预生成的SSL密钥，使用其他CA所生成的密钥。

厂商补丁：

Gentoo

Gentoo已经为此发布了一个安全公告（GLSA-200803-30）以及相应补丁:
GLSA-200803-30：ssl-cert eclass: Certificate disclosure
链接：<a href=“http://security.gentoo.org/glsa/glsa-200803-30.xml” target=“_blank”>http://security.gentoo.org/glsa/glsa-200803-30.xml</a>

所有Conserver用户都应升级到最新版本：

# emerge --sync
# emerge --ask --oneshot --verbose ">=app-admin/conserver-8.1.16"

所有Postfix 2.4用户都应升级到最新版本：

# emerge --sync
# emerge --ask --oneshot --verbose ">=mail-mta/postfix-2.4.6-r2"

所有Postfix 2.3用户都应升级到最新版本：

# emerge --sync
# emerge --ask --oneshot --verbose ">=mail-mta/postfix-2.3.8-r1"

所有Postfix 2.2 用户都应升级到最新版本：

# emerge --sync
# emerge --ask --oneshot --verbose ">=mail-mta/postfix-2.2.11-r1"

所有Netkit FTP Server用户都应升级到最新版本：

# emerge --sync
# emerge --ask --oneshot --verbose ">=net-ftp/netkit-ftpd-0.17-r7"

所有ejabberd用户都应升级到最新版本：

# emerge --sync
# emerge --ask --oneshot --verbose ">=net-im/ejabberd-1.1.3"

所有UnrealIRCd用户都应升级到最新版本：

# emerge --sync
# emerge --ask --oneshot --verbose ">=net-irc/unrealircd-3.2.7-r2"

所有Cyrus IMAP Server用户都应升级到最新版本：

# emerge --sync
# emerge --ask --oneshot --verbose ">=net-mail/cyrus-imapd-2.3.9-r1"

所有Dovecot用户都应升级到最新版本：

# emerge --sync
# emerge --ask --oneshot --verbose ">=net-mail/dovecot-1.0.10"

所有stunnel 4用户都应升级到最新版本：

# emerge --sync
# emerge --ask --oneshot --verbose ">=net-misc/stunnel-4.21"

所有InterNetNews用户都应升级到最新版本：
# emerge --sync
# emerge --ask --oneshot --verbose ">=net-nntp/inn-2.4.3-r1"