OpenSSL 3.5.0 < 3.5.1 の脆弱性

medium Nessus プラグイン ID 237112

Language:

概要

リモートサービスは脆弱性の影響を受けます。

説明

リモートホストにインストールされている OpenSSL は、3.5.1 より前のバージョンです。したがって、3.5.1 のアドバイザリに記載されている脆弱性の影響を受けます。

- 問題の要約: openssl x509 アプリケーションで -addreject オプションを使用すると、証明書に対して拒否された使用ではなく、信頼できる使用が追加されます。影響の概要: ユーザーが、信頼できる証明書を特定の用途で拒否させようとすると、その用途では信頼できるものとしてマークされます。コードのマイナーなリファクタリング中にコピーアンドペーストのエラーがあるため、OpenSSL 3.5 バージョンでこの問題が発生しました。たとえば、信頼できる CA 証明書が、CMS 署名認証ではなく TLS サーバーを認証する目的でのみ信頼されるべきで、CMS 署名認証が -addreject オプションで拒否されたものとしてマークされるように意図されている場合、その結果の CA 証明書は CMS 署名認証の目的で信頼されます。openssl x509 コマンドラインアプリケーションを使用して拒否された使用を追加する、信頼できる証明書形式を使用するユーザーのみがこの問題の影響を受けます。コマンドラインアプリケーションにのみ影響するこれらの問題は、重要度低として扱われます。3.5、3.4、3.3、3.2、3.1、および 3.0 の FIPS モジュールは、この問題の影響を受けません。OpenSSL 3.4、3.3、3.2、3.1、3.0、1.1.1、および 1.0.2 もこの問題の影響を受けません。
(CVE-2025-4575)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。