リモートホストにインストールされている FreeBSD のバージョンは、テスト済みバージョンより前です。したがって、9357d6fb-5a54-11f1-b886-4c526214c986 のアドバイザリに記載されている脆弱性の影響を受けます。

    https://github.com/erlang/otp/security/advisories/GHSA-cjxj-wj6x-3fff による報告:
    Erlang/OTP の public_key アプリケーションは、応答の検証中に、OCSP レスポンダー証明書の有効期間の検証に失敗します。期限切れのOCSPレスポンダーの秘密鍵を所有する攻撃者が、システムが有効として受け入れる応答を偽造する可能性があります。これにより、OCSPステープリングシナリオで失効したTLS証明書を受け入れたり、public_key:pkix_ocsp_validate/5 APIを直接使用しているアプリケーションで認証をバイパスしたりする可能性があります。

Tenable は、前述の記述ブロックを FreeBSD セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

FreeBSD:Erlang/OTP -- OCSP レスポンダー証明書が public_key 年の有効期限後に受け入れられます(9357d6fb-5a54-11f1-b886-4c526214c986)

medium Nessus プラグイン ID 317387

バージョン 1.1