リモートホストにインストールされている OpenSSL のバージョンは、1.0.2k-24 より前です。したがって、ALAS2-2024-2479 のアドバイザリに記載されている脆弱性の影響を受けます。

  - 問題のサマリー: 悪意を持ってフォーマットされた PKCS12 ファイルを処理すると、OpenSSL がクラッシュし、サービス拒否攻撃が引き起こされる可能性があります。影響のサマリー: 信頼できないソースから PKCS12 フォーマットでファイルをロードするアプリケーションが突然終了する可能性があります。PKCS12 形式のファイルには、証明書とキーが含まれる可能性があり、信頼できないソースからのものである可能性があります。PKCS12 の仕様により、特定のフィールドを NULL にすることができますが、OpenSSL はこの場合を正しくチェックしません。これにより、NULL ポインター逆参照が発生し、OpenSSL がクラッシュする可能性があります。アプリケーションが、OpenSSL API を使用して信頼できないソースからの PKCS12 ファイルを処理する場合、そのアプリケーションはこの問題に対して脆弱になります。これに対して脆弱な OpenSSL API は次のとおりです。
    PKCS12_parse()、PKCS12_unpack_p7data()、PKCS12_unpack_p7encdata()、PKCS12_unpack_authsafes()、PKCS12_newpass()。SMIME_write_PKCS7() の同様の問題も修正しました。ただし、この関数はデータの書き込みに関連するため、セキュリティ上重要とは見なしません。3.2、3.1、3.0 の FIPS モジュールは、この問題の影響を受けません。(CVE-2024-0727)

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

Amazon Linux 2: openssl（ALAS-2024-2479）

medium Nessus プラグイン ID 191518

バージョン 1.2

バージョン 1.1

バージョン 1.0

バージョン 1.2 Apr 11, 2024, 4:12 PM IAVM reference Plugin Feed: 202404111612
バージョン 1.1 Mar 8, 2024, 6:26 PM IAVM reference STIG Severity (set to "I") Plugin Feed: 202403081826
バージョン 1.0 Mar 5, 2024, 7:01 AM New Plugin Feed: 202403050701