Scientific Linux セキュリティ更新:SL6.x i386/x86_64 の openssl

medium Nessus プラグイン ID 61225
New! プラグインの深刻度には CVSS v3 が適用されるようになりました。

プラグインの深刻度は、デフォルトで CVSS v3 を使って計算されるように更新されました。プラグインに CVSS v3 スコアがない場合には、CVSS v2 を使って深刻度が計算されます。深刻度の表示設定は、[設定]のドロップダウンで切り替えができます。

概要

リモート Scientific Linux ホストに 1 つ以上のセキュリティ更新がありません。

説明

OpenSSL は、Secure Sockets Layer(SSL v2/v3)および Transport Layer Security (TLS v1)プロトコル、ならびに全強度の汎用暗号化ライブラリを実装するツールキットです。

OpenSSL の Datagram Transport Layer Security(DTLS)プロトコルの実装が、特定の操作を実行するときに、時間に関する情報を漏洩することが発見されました。リモートの攻撃者が、この欠陥を利用し、パディングオラクルとして DTLS サーバーを使用することにより、暗号化されたパケットから平文を抽出することが可能です。(CVE-2011-4108)

OpenSSL の SSL 3.0 プロトコル実装で情報漏洩の欠陥が見つかりました。SSL レコードパディングバイトが不適切に初期化されているため、SSL のクライアントまたはサーバーが一定量の機密データの可能性があるデータを暗号化された接続により SSL ピアに送信する可能性があります。(CVE-2011-4576)

OpenSSL の RFC 3779 の実装にサービス拒否の欠陥が見つかりました。リモートの攻撃者が、この欠陥を利用し、無効な形式の RFC 3779 拡張データのある特別に細工された X.509 の証明書を仕掛けることにより、 OpenSSL を使用しているアプリケーションを予期せず終了させる可能性があります。
(CVE-2011-4577)

OpenSSL が TLS/SSL ハンドシェイク再起動の数を制限しなかったことが発見されました。これは Server Gated Cryptography のサポートに必要です。リモートの攻撃者が、この欠陥を利用し、ハンドシェイクを継続的に再起動することにより、 OpenSSL を使用する TLS/SSL サーバーに過剰な量の CPU を消化させることが可能です。(CVE-2011-4619)

OpenSSL の全ユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を解決する必要があります。更新を有効にするには、 OpenSSL ライブラリにリンクされているすべてのサービスを再起動するか、システムを再起動する必要があります。

ソリューション

影響を受けるパッケージを更新してください。

関連情報

http://www.nessus.org/u?60ef0d7f

プラグインの詳細

深刻度: Medium

ID: 61225

ファイル名: sl_20120124_openssl_on_SL6_x.nasl

バージョン: 1.6

タイプ: local

エージェント: unix

公開日: 2012/8/1

更新日: 2021/1/14

依存関係: ssh_get_info.nasl

リスク情報

VPR

リスクファクター: Low

スコア: 3.6

CVSS v2

リスクファクター: Medium

Base Score: 5

ベクトル: AV:N/AC:L/Au:N/C:P/I:N/A:N

脆弱性情報

CPE: p-cpe:/a:fermilab:scientific_linux:openssl, p-cpe:/a:fermilab:scientific_linux:openssl-debuginfo, p-cpe:/a:fermilab:scientific_linux:openssl-devel, p-cpe:/a:fermilab:scientific_linux:openssl-perl, p-cpe:/a:fermilab:scientific_linux:openssl-static, x-cpe:/o:fermilab:scientific_linux

必要な KB アイテム: Host/local_checks_enabled, Host/cpu, Host/RedHat/release, Host/RedHat/rpm-list

パッチ公開日: 2012/1/24

脆弱性公開日: 2012/1/6

参照情報

CVE: CVE-2011-4108, CVE-2011-4576, CVE-2011-4577, CVE-2011-4619