Amazon Linux 2023 : openssl、openssl-devel、openssl-libs (ALAS2023-2023-054)
high Nessus プラグイン ID 173165
Language:
概要
リモートの Amazon Linux 2023 ホストに、セキュリティ更新プログラムがありません。説明
したがって、ALAS2023-2023-054 のアドバイザリに記載されている複数の脆弱性の影響を受けます。- AES-NI アセンブリ最適化実装を使用する 32 ビット x86 プラットフォームの AES OCB モードは、一部の状況でデータ全体を暗号化しません。これにより、書き込まれなかったメモリに既存の 16 バイトのデータが漏洩する可能性があります。インプレース暗号化の特別なケースでは、平文の 16 バイトが漏洩します。OpenSSL は、TLS および DTLS の OCB ベースの暗号化パッケージをサポートしていないため、どちらも影響を受けません。OpenSSL 3.0.5で修正されました (3.0.0-3.0.4 が影響を受けました)。OpenSSL 1.1.1q で修正されました (1.1.1-1.1.1p が影響を受けます)。(CVE-2022-2097)
- OpenSSL はレガシー EVP_CIPHER_meth_new() 関数および関連する関数呼び出しを介したカスタム暗号の作成をサポートします。この関数は OpenSSL3.0 で廃止されましたので、アプリケーション作成者は、カスタム暗号を実装するために新しいプロバイダーメカニズムを使用することが推奨されます。OpenSSL バージョン 3.0.0から 3.0.5では、EVP_EncryptInit_ex2()、EVP_DecryptInit_ex2() および EVP_CipherInit_ex2() 関数 (および他の類似した名前の暗号化および復号化の初期化関数) に渡されたレガシーカスタム暗号が不適切に処理されます。カスタム暗号を直接使用する代わりに、利用可能なプロバイダーの同等の暗号を誤ってフェッチしようとします。EVP_CIPHER_meth_new() に渡された NID に基づいて、同等の暗号が見つかりました。この NID は特定の暗号の一意の NID を表すことが想定されています。ただし、EVP_CIPHER_meth_new() への呼び出しで、アプリケーションがこの値として NID_undef を誤って渡す可能性があります。NID_undef がこのように使用されると、OpenSSL 暗号化/復号化初期化関数は NULL 暗号を同等であると一致させ、これを利用可能なプロバイダーからフェッチします。
これはデフォルトのプロバイダーがロードされている場合 (またはこの暗号を提供するサードパーティプロバイダーがロードされている場合) に成功します。NULL 暗号を使用することは、平文が暗号テキストとして出力されることを意味します。
アプリケーションがこの問題の影響を受けるのは、NID_undef を使用して EVP_CIPHER_meth_new() を呼び出し、その後暗号化/復号化初期化関数への呼び出しで使用する場合のみです。SSL/TLS のみを使用するアプリケーションは、この問題の影響を受けません。OpenSSL 3.0.6(3.0.0-3.0.5 が影響を受けます) で修正されました。(CVE-2022-3358)
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。
ソリューション
「dnf update openssl --releasever=2023.0.20230222」を実行してシステムを更新してください。参考資料
https://alas.aws.amazon.com/AL2023/ALAS-2023-054.html
https://alas.aws.amazon.com/cve/html/CVE-2022-2097.html
プラグインの詳細
深刻度: High
ID: 173165
ファイル名: al2023_ALAS2023-2023-054.nasl
バージョン: 1.2
タイプ: local
エージェント: unix
公開日: 2023/3/21
更新日: 2023/4/20
サポートされているセンサー: Agentless Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Nessus Agent, Nessus
リスク情報
VPR
リスクファクター: Low
スコア: 3.6
CVSS v2
リスクファクター: Medium
基本値: 5
現状値: 4.1
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:P/I:N/A:N
CVSS スコアのソース: CVE-2022-2097
CVSS v3
リスクファクター: High
基本値: 7.5
現状値: 7
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
現状ベクトル: CVSS:3.0/E:F/RL:O/RC:C
CVSS スコアのソース: CVE-2022-3358
脆弱性情報
CPE: p-cpe:/a:amazon:linux:openssl, p-cpe:/a:amazon:linux:openssl-debuginfo, p-cpe:/a:amazon:linux:openssl-debugsource, p-cpe:/a:amazon:linux:openssl-devel, p-cpe:/a:amazon:linux:openssl-libs, p-cpe:/a:amazon:linux:openssl-libs-debuginfo, p-cpe:/a:amazon:linux:openssl-perl, cpe:/o:amazon:linux:2023
必要な KB アイテム: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list
エクスプロイトが利用可能: true
エクスプロイトの容易さ: Exploits are available
パッチ公開日: 2023/2/17
脆弱性公開日: 2022/7/5
参照情報
CVE: CVE-2022-2097, CVE-2022-3358
IAVA: 2022-A-0265-S, 2022-A-0415-S