Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - X.509 証明書の検証、特に名前の制約のチェックで、バッファオーバーランが発生する可能性があります。これは証明書チェーン署名の検証後に発生し、信頼できる発行者へのパスを構築できないにもかかわらず、CA が悪意のある証明書に署名するか、アプリケーションが証明書の検証を続行する必要があることに注意してください。攻撃者は、悪意のあるメールアドレスを細工して、攻撃者が制御する 4 バイトをスタックでオーバーフローさせる可能性があります。このバッファオーバーフローにより、クラッシュが発生したり (サービス拒否が引き起こされます)、リモートコード実行が発生したりする可能性があります。多くのプラットフォームは、リモートコード実行のリスクを軽減するスタックオーバーフロー保護を実装しています。任意のプラットフォーム / コンパイラのスタックレイアウトに基づいて、リスクがさらに緩和される可能性があります。CVE-2022-3602 のプレアナウンスでは、この問題を「重要度最高」と説明しています。上記の緩和要因のいくつかに基づくさらなる分析により、これは「重要度高」にダウングレードされています。ユーザーには、依然として新しいバージョンへ至急アップグレードすることが推奨されています。TLS クライアントでは、悪意のあるサーバーに接続することでこれが発生する可能性があります。
    TLS サーバーでは、サーバーがクライアント認証をリクエストし、悪意のあるクライアントが接続すると、これが発生する可能性があります。OpenSSL 3.0.7 で修正されました (3.0.0、3.0.1、3.0.2、3.0.3、3.0.4、3.0.5、3.0.6 が影響を受けました)。(CVE-2022-3602)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2022-3602

high Nessus プラグイン ID 251604

バージョン 1.3