Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 3.6.1より前の Mbed TLS 3.x で問題が発見されました。TLS 1.3では、サーバーがクライアントのオプションの認証を有効にするとき、keyUsage または extKeyUsage 拡張の場合、クライアント提供の証明書に適切な値がない場合、mbedtls_ssl_get_verify_result() の戻り値が間違って MBEDTLS_X509_BADCERT_KEY_USAGE および MBEDTLS_X509_BADCERT_KEY_USAGE ビットがクリアされます。 。結果として、TLS クライアント認証以外の用途で有効な証明書を持っている攻撃者は、それを TLS クライアント認証に使用できます。TLS 1.3 サーバーのみが、オプションの認証のみで影響を受けました必須の認証では、ハンドシェイクは致命的なアラートで中止されます。CVE-2024-45159

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2024-45159

critical Nessus プラグイン ID 249773

バージョン 1.3