Rocky Linuxの 9.6 ホストには、TuxCare ALMALINUX9.6:CLSA-2025:1751550314アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  - 問題の概要: SSL_VERIFY_PEER 検証モードが設定されていると、ハンドシェイクが期待どおりに中止されないため、RFC7250 Raw 公開鍵 (RPK) を使用してサーバーを認証するクライアントは、サーバーが認証されなかったことに気付かない可能性があります。- 影響の概要: クライアントがサーバー認証の失敗を検出しない場合、RAW 公開鍵を使用した TLS および DTLS 接続が中間者攻撃 (man-in-the-middle attack) に対して脆弱になる可能性があります。RPK は TLS クライアントおよび TLS サーバーの両方でデフォルトで無効になっています。この問題は、TLS クライアントがサーバーによる RPK 利用を明示的に有効にし、かつサーバー側も X.509 証明書チェーンの代わりに RPK を送信する設定を有効にした場合にのみ発生します。影響を受けるクライアントは、サーバーの RPK が期待される公開鍵のいずれとも一致しなかった場合にハンドシェイクが失敗することを前提として、検証モードを SSL_VERIFY_PEER に設定しているクライアントです。サーバー側 RPK を有効にしているクライアントでも、SSL_get_verify_result() を呼び出すことで RPK 検証の失敗を確認できます。その操作を行い、適切な対応を取るクライアントは影響を受けません。- この問題は、OpenSSL 3.2 で RPK サポートを最初に実装した際に導入されました。3.4、3.3、3.2、3.1、および 3.0 の FIPS モジュールは、この問題の影響を受けません。(CVE-2024-12797)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Rocky Linux 9.6 [TuxCare] セキュリティ更新プログラム:openssl/openssl-devel/openssl-libs/openssl-perl(ALMALINUX9.6:CLSA-2025:1751550314)

medium Nessus プラグイン ID 361050

バージョン 1.1