SUSE SLES12セキュリティ更新プログラム:openssl(SUSE-SU-2018:0112-1)

critical Nessus プラグイン ID 106093

Language:

概要

リモートのSUSEホストに1つ以上のセキュリティ更新がありません。

説明

このopensslの更新では、以下の問題を修正します:キャッシュサイドチャネル攻撃の軽減:

- CVE-2016-7056:ECSDA P-256タイミング攻撃キーの回復(bsc#1019334)

- CVE-2017-3731:切り取られたパケットが領域外読み取りを介してクラッシュする可能性があります(bsc#1022085)

- CVE-2016-8610:SSLアラート処理におけるリモートのサービス拒否(bsc#1005878)

- CVE-2017-3735:不正な形式のX.509 IPAdressFamilyが、領域外読み取りを引き起こす可能性があります(bsc#1056058)バグ修正:

- 代替root caチェーンをサポートします(bsc#1032261)

- X509_get_default_cert_file()が間違ったパスを返します(bsc#1022271)

- エンジンライブラリファイルが見つからない場合の「openssl speed」でのセグメンテーション違反(bsc#1000677)

- 1.0.2および現在の状態に対応するためにDEFAULT_SUSEを調整します(bsc#1027908)

- SLES12 SP1のopenssl 1.0.1i-47.1に重要な暗号が欠落しています(bsc#990592)

- DES_fcryptでの領域外読み取りとクラッシュ(bsc#1065363)

- 2017年1月26日のリリースのトラッカーバグ(bsc#1021641)

- CVE-2016-2108のパッチがネガティブゼロの悪用に失敗します(bsc#1001502)

- 64ビットブロック暗号、つまりtriple-des、に対する誕生日攻撃(SWEET32)(bsc#1001912)

- CVE-2016-2108の追加パッチを含めます(bsc#1004499)

- openssl DEFAULT_SUSE暗号リストにECDHE-ECDSA暗号がありません(bsc#1055825)

注意:Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

ソリューション

このSUSEセキュリティ更新プログラムをインストールするには、YaST online_updateを使用してください。
別の方法として、製品にリストされているコマンドを実行することができます:

SUSE Linux Enterprise Server 12-LTSS:zypper in -t patch SUSE-SLE-SERVER-12-2018-79=1

お使いのシステムを最新の状態にするには、「zypper パッチ」を使用してください。

参考資料

https://bugzilla.suse.com/show_bug.cgi?id=1000677

https://bugzilla.suse.com/show_bug.cgi?id=1001502

https://bugzilla.suse.com/show_bug.cgi?id=1001912

https://bugzilla.suse.com/show_bug.cgi?id=1004499

https://bugzilla.suse.com/show_bug.cgi?id=1005878

https://bugzilla.suse.com/show_bug.cgi?id=1019334

https://bugzilla.suse.com/show_bug.cgi?id=1021641

https://bugzilla.suse.com/show_bug.cgi?id=1022085

https://bugzilla.suse.com/show_bug.cgi?id=1022271

https://bugzilla.suse.com/show_bug.cgi?id=1027908

https://bugzilla.suse.com/show_bug.cgi?id=1032261

https://bugzilla.suse.com/show_bug.cgi?id=1055825

https://bugzilla.suse.com/show_bug.cgi?id=1056058

https://bugzilla.suse.com/show_bug.cgi?id=1065363

https://bugzilla.suse.com/show_bug.cgi?id=990592

https://www.suse.com/security/cve/CVE-2016-2108/

https://www.suse.com/security/cve/CVE-2016-7056/

https://www.suse.com/security/cve/CVE-2016-8610/

https://www.suse.com/security/cve/CVE-2017-3731/

https://www.suse.com/security/cve/CVE-2017-3735/

http://www.nessus.org/u?7222548f

プラグインの詳細

深刻度: Critical

ID: 106093

ファイル名: suse_SU-2018-0112-1.nasl

バージョン: 3.5

タイプ: local

エージェント: unix

公開日: 2018/1/17

更新日: 2021/1/13

サポートされているセンサー: Agentless Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Frictionless Assessment Azure, Nessus Agent, Nessus

リスク情報

VPR

リスクファクター: Medium

スコア: 6.7

CVSS v2

リスクファクター: Critical

Base Score: 10

Temporal Score: 7.4

ベクトル: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C

CVSS v3

リスクファクター: Critical

Base Score: 9.8

Temporal Score: 8.5

ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C

脆弱性情報

CPE: p-cpe:/a:novell:suse_linux:libopenssl1_0_0, p-cpe:/a:novell:suse_linux:libopenssl1_0_0-debuginfo, p-cpe:/a:novell:suse_linux:libopenssl1_0_0-hmac, p-cpe:/a:novell:suse_linux:openssl, p-cpe:/a:novell:suse_linux:openssl-debuginfo, p-cpe:/a:novell:suse_linux:openssl-debugsource, cpe:/o:novell:suse_linux:12

必要な KB アイテム: Host/local_checks_enabled, Host/cpu, Host/SuSE/release, Host/SuSE/rpm-list

エクスプロイトの容易さ: No known exploits are available

パッチ公開日: 2018/1/16

脆弱性公開日: 2016/5/5

参照情報

CVE: CVE-2016-2108, CVE-2016-7056, CVE-2016-8610, CVE-2017-3731, CVE-2017-3735