深刻度

テーマ

Amazon Linux 2023 : openssl、openssl-devel、openssl-libs (ALAS2023-2023-054)

high Nessus プラグイン ID 173165

言語:

概要

リモートの Amazon Linux 2023 ホストに、セキュリティ更新プログラムがありません。

説明

したがって、ALAS2023-2023-054 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

- AES-NI アセンブリ最適化実装を使用する 32 ビット x86 プラットフォームの AES OCB モードは、一部の状況でデータ全体を暗号化しません。これにより、書き込まれなかったメモリに既存の 16 バイトのデータが漏洩する可能性があります。インプレース暗号化の特別なケースでは、平文の 16 バイトが漏洩します。OpenSSL は、TLS および DTLS の OCB ベースの暗号化パッケージをサポートしていないため、どちらも影響を受けません。OpenSSL 3.0.5で修正されました (3.0.0-3.0.4 が影響を受けました)。OpenSSL 1.1.1q で修正されました (1.1.1-1.1.1p が影響を受けます)。(CVE-2022-2097)

- OpenSSL はレガシー EVP_CIPHER_meth_new() 関数および関連する関数呼び出しを介したカスタム暗号の作成をサポートします。この関数は OpenSSL3.0 で廃止されましたので、アプリケーション作成者は、カスタム暗号を実装するために新しいプロバイダーメカニズムを使用することが推奨されます。OpenSSL バージョン 3.0.0から 3.0.5では、EVP_EncryptInit_ex2()、EVP_DecryptInit_ex2() および EVP_CipherInit_ex2() 関数 (および他の類似した名前の暗号化および復号化の初期化関数) に渡されたレガシーカスタム暗号が不適切に処理されます。カスタム暗号を直接使用する代わりに、利用可能なプロバイダーの同等の暗号を誤ってフェッチしようとします。EVP_CIPHER_meth_new() に渡された NID に基づいて、同等の暗号が見つかりました。この NID は特定の暗号の一意の NID を表すことが想定されています。ただし、EVP_CIPHER_meth_new() への呼び出しで、アプリケーションがこの値として NID_undef を誤って渡す可能性があります。NID_undef がこのように使用されると、OpenSSL 暗号化/復号化初期化関数は NULL 暗号を同等であると一致させ、これを利用可能なプロバイダーからフェッチします。
これはデフォルトのプロバイダーがロードされている場合 (またはこの暗号を提供するサードパーティプロバイダーがロードされている場合) に成功します。NULL 暗号を使用することは、平文が暗号テキストとして出力されることを意味します。
アプリケーションがこの問題の影響を受けるのは、NID_undef を使用して EVP_CIPHER_meth_new() を呼び出し、その後暗号化/復号化初期化関数への呼び出しで使用する場合のみです。SSL/TLS のみを使用するアプリケーションは、この問題の影響を受けません。OpenSSL 3.0.6(3.0.0-3.0.5 が影響を受けます) で修正されました。(CVE-2022-3358)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ソリューション

「dnf update openssl --releasever=2023.0.20230222」を実行してシステムを更新してください。

プラグインの詳細

深刻度: High

ID: 173165

ファイル名: al2023_ALAS2023-2023-054.nasl

バージョン: 1.2

タイプ: local

エージェント: unix

ファミリー: Amazon Linux Local Security Checks

公開日: 2023/3/21

更新日: 2023/4/20

サポートされているセンサー: Agentless Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Nessus Agent

リスク情報

VPR

リスクファクター: Low

スコア: 3.6

CVSS v2

リスクファクター: Medium

Base Score: 5

Temporal Score: 4.1

ベクトル: CVSS2#AV:N/AC:L/Au:N/C:P/I:N/A:N

CVSS スコアのソース: CVE-2022-2097

CVSS v3

リスクファクター: High

Base Score: 7.5

Temporal Score: 7

ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

現状ベクトル: CVSS:3.0/E:F/RL:O/RC:C

CVSS スコアのソース: CVE-2022-3358

脆弱性情報

CPE: p-cpe:/a:amazon:linux:openssl, p-cpe:/a:amazon:linux:openssl-debuginfo, p-cpe:/a:amazon:linux:openssl-debugsource, p-cpe:/a:amazon:linux:openssl-devel, p-cpe:/a:amazon:linux:openssl-libs, p-cpe:/a:amazon:linux:openssl-libs-debuginfo, p-cpe:/a:amazon:linux:openssl-perl, cpe:/o:amazon:linux:2023

必要な KB アイテム: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list

エクスプロイトが利用可能: true

エクスプロイトの容易さ: Exploits are available

パッチ公開日: 2023/2/17

脆弱性公開日: 2022/7/5

参照情報

CVE: CVE-2022-2097, CVE-2022-3358

IAVA: 2022-A-0265-S, 2022-A-0415-S