EulerOS 2.0 SP2:openssl110f(EulerOS-SA-2019-2430)

low Nessus プラグイン ID 131584
New! プラグインの深刻度には CVSS v3 が適用されるようになりました。

プラグインの深刻度は、デフォルトで CVSS v3 を使って計算されるように更新されました。プラグインに CVSS v3 スコアがない場合には、CVSS v2 を使って深刻度が計算されます。深刻度の表示設定は、[設定]のドロップダウンで切り替えができます。

概要

リモートのEulerOSホストに複数のセキュリティ更新プログラムがありません。

説明

インストールされているopenssl110fパッケージのバージョンによると、リモートホストにインストールされているEulerOSは次の脆弱性の影響を受けます。- OpenSSL DSA署名アルゴリズムは、タイミングサイドチャンネル攻撃に対して脆弱であることがわかっています。攻撃者が署名アルゴリズムの変動を悪用し、秘密鍵を復元する可能性があります。OpenSSL 1.1.1aで修正されました(1.1.1が影響を受けます)。OpenSSL 1.1.0jで修正されました(1.1.0~1.1.0iが影響を受けます)。OpenSSL 1.0.2qで修正されました(1.0.2~1.0.2pが影響を受けます)。(CVE-2018-0734)- プロセッサの同時マルチスレッド(SMT)では、ローカルユーザーが「ポート競合」のサイドチャンネルタイミング攻撃を仕掛けて、タイミング攻撃に脆弱なソフトウェアを悪用する可能性があります。(CVE-2018-5407)- 通常、OpenSSL ECグループには常にコファクターが存在し、これはサイドチャンネル耐性コードパスで使用されます。ただし、(名前付き曲線を使用する代わりに)明示的なパラメーターを使用してグループを作成できる場合があります。その場合、このようなグループにはコファクターが存在しない可能性があります。これは、すべてのパラメーターが既知の名前付き曲線と一致する場合でも発生する可能性があります。このような曲線が使用される場合、OpenSSLは、サイドチャンネル以外の耐性コードパスにフォールバックすることで、ECDSA署名操作中に完全にキーを回復する可能性があります。脆弱であるには、libcryptoを使用するアプリケーションでコファクターが存在しない明示的なパラメーターを使用して大量の署名が作成されているときの作成時間を攻撃者が知ることができる必要があります。ただし、libsslでは、明示的なパラメーターが使用されないため脆弱ではありません。OpenSSL 1.1.1dで修正されました(1.1.1~1.1.1cが影響を受けます)。OpenSSL 1.1.0lで修正されました(1.1.0~1.1.0kが影響を受けます)。OpenSSL 1.0.2tで修正されました(1.0.2~1.0.2sが影響を受けます)。(CVE-2019-1547)- 攻撃者が復号化の成功または失敗の自動通知を受け取るとき、復号化する大量のメッセージが送信されると、攻撃者がBleichenbacherパディングオラクル攻撃を仕掛けて、CMS/PKCS7で転送された暗号化キーを復元したり、公開RSAキーで暗号化されたRSA暗号化メッセージを復号化したりする可能性があります。証明書とともにCMS_decrypt関数またはPKCS7_decrypt関数へのプライベートRSAキーを使用して、復号化する正しい受信者情報を選択する場合、アプリケーションは影響を受けません。OpenSSL 1.1.1dで修正されました(1.1.1~1.1.1cが影響を受けます)。OpenSSL 1.1.0hで修正されました(1.1.0~1.1.0kが影響を受けます)。OpenSSL 1.0.2tで修正されました(1.0.2~1.0.2sが影響を受けます)。(CVE-2019-1563)注意:Tenable Network Securityは、前述の記述ブロックをEulerOSセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

ソリューション

影響を受けるopenssl110fパッケージを更新してください。

関連情報

http://www.nessus.org/u?c75fc767

プラグインの詳細

深刻度: Low

ID: 131584

ファイル名: EulerOS_SA-2019-2430.nasl

バージョン: 1.5

タイプ: local

公開日: 2019/12/4

更新日: 2021/1/6

依存関係: ssh_get_info.nasl

リスク情報

CVSS スコアのソース: CVE-2019-1563

VPR

リスクファクター: Medium

スコア: 5.1

CVSS v2

リスクファクター: Medium

Base Score: 4.3

Temporal Score: 3.4

ベクトル: AV:N/AC:M/Au:N/C:P/I:N/A:N

現状ベクトル: E:POC/RL:OF/RC:C

CVSS v3

リスクファクター: Low

Base Score: 3.7

Temporal Score: 3.4

ベクトル: CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N

現状ベクトル: E:P/RL:O/RC:C

脆弱性情報

CPE: p-cpe:/a:huawei:euleros:openssl110f, p-cpe:/a:huawei:euleros:openssl110f-devel, p-cpe:/a:huawei:euleros:openssl110f-libs, cpe:/o:huawei:euleros:2.0

必要な KB アイテム: Host/local_checks_enabled, Host/EulerOS/release, Host/EulerOS/rpm-list, Host/EulerOS/sp

除外される KB アイテム: Host/EulerOS/uvp_version

エクスプロイトが利用可能: true

エクスプロイトの容易さ: Exploits are available

パッチ公開日: 2019/12/4

参照情報

CVE: CVE-2018-0734, CVE-2018-5407, CVE-2019-1547, CVE-2019-1563