インストールされているopensslパッケージのバージョンによると、リモートホストにインストールされているEulerOS Virtualizationは次の脆弱性の影響を受けます。 -アプリケーションに致命的なプロトコルエラーが発生したとき、SSL_shutdown()を2回呼び出すと（1回目はclose_notify送信のため、2回目はそれの受信のため）、OpenSSLは、0バイトのレコードを無効なパディングを使用して受信した場合と0バイトのレコードを無効なMACで受信した場合とでは、呼び出し側のアプリケーションに対し異なった応答をする可能性があります。アプリケーションがそれに基づいてリモートピアに検出可能な方法で異なる動作をする場合、これはパディングオラクルになり、データの復号に使用される可能性があります。これを悪用するには、「ステッチされていない」暗号スイートを使用する必要があります。ステッチ暗号スイートは、一般的に使用される特定の暗号スイートの最適化された実装です。また、プロトコルエラーが発生した場合でも、アプリケーションはSSL_shutdown()を2回呼び出す必要があります（通常アプリケーションはこれを行うべきではありませんが、一部のアプリケーションは行います）。OpenSSL 1.0.2rで修正されました。（1.0.2～1.0.2qは影響を受けます）（CVE-2019-1559）注意：Tenable Network Securityは、前述の記述ブロックをEulerOSセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

検出

EulerOS Virtualization 2.5.3：openssl（EulerOS-SA-2019-1258）

medium Nessus プラグイン ID 123726

バージョン 1.9