IBM HTTP Server 7.0.0.0 <= 7.0.0.43 / 8.0.0.0 <= 8.0.0.14 / 8.5.0.0 < 8.5.5.14 / 9.0.0.0 < 9.0.0.8の複数の脆弱性(569301)

critical Nessus プラグイン ID 144773
New! プラグインの深刻度には CVSS v3 が適用されるようになりました。

プラグインの深刻度は、デフォルトで CVSS v3 を使って計算されるように更新されました。プラグインに CVSS v3 スコアがない場合には、CVSS v2 を使って深刻度が計算されます。深刻度の表示設定は、[設定]のドロップダウンで切り替えができます。

概要

リモートのWebサーバーは複数の脆弱性の影響を受けます。

説明

リモートホストで実行されているIBM HTTP Serverのバージョンは、以下のような複数の脆弱性の影響を受けます。

- IBM GSKit(IBM DB2 for Linux、UNIXおよびWindows 9.7、10.1、10.5および 11.1)は、複数のICCインスタンスがロードされている場合、fork()システムコールでPRNG状態を重複します。これにより、重複したセッションIDや重複したキーマテリアルのリスクにつながる可能性があります。(CVE-2018-1426)

- GSKit(IBM Spectrum Protect 7.1および7.2)および(IBM Spectrum Protectスナップショット4.1.3、4.1.4および4.1.6)のCMS KDBロジックは、ハッシュ関数をソルトできず、その結果パスワードの保護は予想よりも弱くなっています。脆弱なパスワードが回復される可能性があります。注 : 更新後、顧客はパスワードを変更し、新しいパスワードがより安全に保存されるようにする必要があります。製品は、顧客がこの手順を優先度の高いアクションとして実行するように促す必要があります。(CVE-2018-1447)

- 1.0.2kより前の1.0.2、1.1.0dより前の1.1.0のOpenSSLには、x86_64 Montgomery二乗プロシージャにキャリー伝播のバグがあります。ECアルゴリズムは影響を受けません。分析によれば、この欠陥の結果を使用してRSAとDSAに対する攻撃を実行するのは非常に難しく、その可能性は低いと考えられます。DHに対する攻撃は、秘密鍵に関する情報の推測に必要な作業のほとんどがオフラインで実行される可能性があるため、(実行は非常に困難ではあるものの)可能であると考えられます。そのような攻撃に必要なリソースの量は非常に多く、実行できる攻撃者の数は限られていると考えられます。永続的なDHパラメーターと複数のクライアントで共有される秘密鍵があるシナリオでは、攻撃者は標的の秘密鍵を使用して、パッチが適用されていないシステムへオンラインでアクセスする必要があります。たとえば、これはOpenSSL DHEベースのSSL/TLS暗号スイートでデフォルトで発生する可能性があります。注 : この問題はCVE-2015-3193と非常に似ていますが、別の問題として扱う必要があります。(CVE-2017-3732)

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ソリューション

IBM HTTP Serverバージョン7.0.0.45、8.5.5.14、9.0.0.8以降にアップグレードしてください。または、暫定修正に必要な最低限のFix Packレベルにアップグレードしてから、暫定修正PI91913またはPI94222を適用してください。

関連情報

https://www.ibm.com/support/pages/node/569301

プラグインの詳細

深刻度: Critical

ID: 144773

ファイル名: ibm_http_server_569301.nasl

バージョン: 1.3

タイプ: local

エージェント: unix

ファミリー: Web Servers

公開日: 2021/1/6

更新日: 2021/1/25

依存関係: ibm_http_server_nix_installed.nbin

リスク情報

CVSS スコアのソース: CVE-2018-1426

VPR

リスクファクター: Medium

スコア: 5.9

CVSS v2

リスクファクター: Medium

Base Score: 6.4

Temporal Score: 4.7

ベクトル: AV:N/AC:L/Au:N/C:P/I:P/A:N

現状ベクトル: E:U/RL:OF/RC:C

CVSS v3

リスクファクター: Critical

Base Score: 9.1

Temporal Score: 7.9

ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

現状ベクトル: E:U/RL:O/RC:C

脆弱性情報

CPE: cpe:/a:ibm:http_server

必要な KB アイテム: installed_sw/IBM HTTP Server (IHS)

エクスプロイトの容易さ: No known exploits are available

パッチ公開日: 2018/5/15

脆弱性公開日: 2016/3/3

参照情報

CVE: CVE-2016-0702, CVE-2016-7056, CVE-2017-3732, CVE-2017-3736, CVE-2018-1426, CVE-2018-1427, CVE-2018-1447

BID: 83740, 95375, 95814, 101666, 103536, 104511, 105580