OpenSSL 0.9.6 < 0.9.6j の複数の脆弱性

medium Nessus プラグイン ID 200201

Language:

概要

リモートサービスは、複数の脆弱性の影響を受けます。

説明

リモートホストにインストールされている OpenSSL は、0.9.6j より前のバージョンです。したがって、0.9.6j のアドバイザリに記載されている複数の脆弱性の影響を受けます。

- OpenSSL 0.9.6i 以前、0.9.7、および 0.9.7a の SSL および TLS コンポーネントにより、リモートの攻撃者が、PKCS #1 v1.5 パディングを使用して大量の SSL または TLS 接続を使用する修正された Bleichenbacher 攻撃を介して、認証されていない RSA 秘密鍵の操作を実行する可能性があります。これにより、OpenSSL は暗号文と関連する平文の間の関係に関する情報を漏洩します (別名: Klima-Pokorny-Rosa 攻撃)。(CVE-2003-0131)

- OpenSSL はデフォルトで RSA ブラインディングを使用しません。これにより、ローカルおよびリモートの攻撃者は、(1) モントゴメリリダクション中の余分なリダクションの数、および (2) 異なる整数の乗算アルゴリズム (Karatsuba および normal) の使用における時間差を使用して要因を特定することで、サーバーの秘密鍵を取得する可能性があります。(CVE-2003-0147)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。