インストールされているopenssl110fパッケージのバージョンによると、リモートホストにインストールされているEulerOSは次の脆弱性の影響を受けます。- OpenSSL DSA署名アルゴリズムは、タイミングサイドチャンネル攻撃に対して脆弱であることがわかっています。攻撃者が署名アルゴリズムの変動を悪用し、秘密鍵を復元する可能性があります。OpenSSL 1.1.1aで修正されました（1.1.1が影響を受けます）。OpenSSL 1.1.0jで修正されました（1.1.0～1.1.0iが影響を受けます）。OpenSSL 1.0.2qで修正されました（1.0.2～1.0.2pが影響を受けます）。（CVE-2018-0734）- プロセッサの同時マルチスレッド（SMT）では、ローカルユーザーが「ポート競合」のサイドチャンネルタイミング攻撃を仕掛けて、タイミング攻撃に脆弱なソフトウェアを悪用する可能性があります。（CVE-2018-5407）- 通常、OpenSSL ECグループには常にコファクターが存在し、これはサイドチャンネル耐性コードパスで使用されます。ただし、（名前付き曲線を使用する代わりに）明示的なパラメーターを使用してグループを作成できる場合があります。その場合、このようなグループにはコファクターが存在しない可能性があります。これは、すべてのパラメーターが既知の名前付き曲線と一致する場合でも発生する可能性があります。このような曲線が使用される場合、OpenSSLは、サイドチャンネル以外の耐性コードパスにフォールバックすることで、ECDSA署名操作中に完全にキーを回復する可能性があります。脆弱であるには、libcryptoを使用するアプリケーションでコファクターが存在しない明示的なパラメーターを使用して大量の署名が作成されているときの作成時間を攻撃者が知ることができる必要があります。ただし、libsslでは、明示的なパラメーターが使用されないため脆弱ではありません。OpenSSL 1.1.1dで修正されました（1.1.1～1.1.1cが影響を受けます）。OpenSSL 1.1.0lで修正されました（1.1.0～1.1.0kが影響を受けます）。OpenSSL 1.0.2tで修正されました（1.0.2～1.0.2sが影響を受けます）。（CVE-2019-1547）- 攻撃者が復号化の成功または失敗の自動通知を受け取るとき、復号化する大量のメッセージが送信されると、攻撃者がBleichenbacherパディングオラクル攻撃を仕掛けて、CMS/PKCS7で転送された暗号化キーを復元したり、公開RSAキーで暗号化されたRSA暗号化メッセージを復号化したりする可能性があります。証明書とともにCMS_decrypt関数またはPKCS7_decrypt関数へのプライベートRSAキーを使用して、復号化する正しい受信者情報を選択する場合、アプリケーションは影響を受けません。OpenSSL 1.1.1dで修正されました（1.1.1～1.1.1cが影響を受けます）。OpenSSL 1.1.0hで修正されました（1.1.0～1.1.0kが影響を受けます）。OpenSSL 1.0.2tで修正されました（1.0.2～1.0.2sが影響を受けます）。（CVE-2019-1563）注意：Tenable Network Securityは、前述の記述ブロックをEulerOSセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

検出

EulerOS 2.0 SP2：openssl110f（EulerOS-SA-2019-2430）

medium Nessus プラグイン ID 131584

変更ログが見つかりません