openSUSEセキュリティ更新プログラム:libssh2_org(openSUSE-2020-2126)

critical Nessus プラグイン ID 143507

Language:

概要

リモートのopenSUSEホストに、セキュリティ更新プログラムがありません。

説明

このlibssh2_org用更新プログラムでは、以下の問題を修正します。に対する誤ったアップストリーム修正により公開鍵認証が中断されました(、)。known_hostsファイルでサポートされていないタイプの鍵を保存しますが使用しません()。注意:

- 1.9.0へのバージョン更新:[bsc#1178083、jsc#SLE-16922]拡張機能およびバグ修正:

- OpenSSLの使用時にECDSAキーとホストキーのサポートを追加します

- OpenSSL1.1.1の使用時にED25519キーとホストキーのサポートを追加します

- OpenSSHスタイルのキーファイルの読み取りを追加します

- WinCNGの使用時にAES CTRモードのサポートを追加します

- LibgcryptおよびWinCNGに対してPEMパスフレーズ保護ファイルのサポートを追加します

- SHA256ホストキーの指紋を追加します

- libssh2_agent_get_identity_path()およびlibssh2_agent_set_identity_path()を追加します

- メモリの機密データの明示的なゼロ化を追加します

- ネットワークバッファの読み取りに追加の境界チェックを追加します

- sftpディレクトリを作成する際に、サーバーのデフォルト権限を使用する機能を追加します

- OpenSSLのエンジンフラグなしで構築するためのサポートを追加します

- LibreSSLで構築するためのサポートを追加します

- sftpパケットサイズを256kに増加しました

- sftpにおける過剰なサイズのパケット処理を修正しました

- OpenSSL 1.1での構築を修正しました

- sftp statが予期しない応答を取得した場合に発生する可能性があるクラッシュを修正しました

- KEX設定文字列値の不適切な解析を修正しました

- 条件付きRSAおよびAES-CTRのサポートを修正しました

- キー交換プロセス中の小規模なメモリリークを修正しました

- sshバナー文字列のメモリリークの可能性を修正しました

- バックエンドのさまざまな小さなメモリリークを修正しました

- サーバーから公開鍵を解析する際に発生する可能性のある領域外読み取りを修正しました

- 無効なPEMファイルを解析する際に発生する可能性のある領域外読み取りを修正しました

- scpリモートexecコマンドをNULL終端しなくなりました

- ディフィー・ヘルマン鍵ペアの生成が失敗した場合に、エラーを処理するようになりました

- ビルド手順を改善しました

- ユニットテストを改善しました

- 1.8.2へのバージョン更新:[bsc#1130103]バグ修正:

- 1.8.1を中断させていたuserauthパッチの誤った適用を修正しました

- パブリックヘッダーから最大サイズの宣言を移動しました。この更新はSUSEからインポートされました:SLE-15: 更新プロジェクトを更新します。

ソリューション

影響を受けるlibssh2_orgパッケージを更新してください。

参考資料

https://bugzilla.opensuse.org/show_bug.cgi?id=1130103

https://bugzilla.opensuse.org/show_bug.cgi?id=1178083

プラグインの詳細

深刻度: Critical

ID: 143507

ファイル名: openSUSE-2020-2126.nasl

バージョン: 1.4

タイプ: local

エージェント: unix

公開日: 2020/12/7

更新日: 2024/2/6

サポートされているセンサー: Frictionless Assessment Agent, Frictionless Assessment AWS, Frictionless Assessment Azure, Nessus Agent, Nessus

リスク情報

VPR

リスクファクター: Medium

スコア: 6.7

CVSS v2

リスクファクター: High

Base Score: 9.3

Temporal Score: 7.3

ベクトル: CVSS2#AV:N/AC:M/Au:N/C:C/I:C/A:C

CVSS スコアのソース: CVE-2019-3855

CVSS v3

リスクファクター: Critical

Base Score: 9.1

Temporal Score: 8.2

ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H

現状ベクトル: CVSS:3.0/E:P/RL:O/RC:C

CVSS スコアのソース: CVE-2019-3862

脆弱性情報

CPE: p-cpe:/a:novell:opensuse:libssh2-1, p-cpe:/a:novell:opensuse:libssh2-1-32bit, p-cpe:/a:novell:opensuse:libssh2-1-32bit-debuginfo, p-cpe:/a:novell:opensuse:libssh2-1-debuginfo, p-cpe:/a:novell:opensuse:libssh2-devel, p-cpe:/a:novell:opensuse:libssh2_org-debugsource, cpe:/o:novell:opensuse:15.1

必要な KB アイテム: Host/local_checks_enabled, Host/SuSE/release, Host/SuSE/rpm-list, Host/cpu

エクスプロイトが利用可能: true

エクスプロイトの容易さ: Exploits are available

パッチ公開日: 2020/11/30

脆弱性公開日: 2019/3/21

参照情報

CVE: CVE-2019-17498, CVE-2019-3855, CVE-2019-3856, CVE-2019-3857, CVE-2019-3858, CVE-2019-3859, CVE-2019-3860, CVE-2019-3861, CVE-2019-3862, CVE-2019-3863