Scientific Linux のセキュリティ更新：SL5.x、SL6.x i386/x86_64 の openssl
medium Nessus プラグイン ID 65022
Language:
概要
リモート Scientific Linux ホストに 1 つ以上のセキュリティ更新がありません。説明
CBC-モード暗号化パッケージを使用した場合、TLS/SSL および DTLS プロトコル暗号化レコードを復号する時に、OpenSSL がタイミング情報を漏洩することがわかりました。リモートの攻撃者がこの欠陥を利用して、TLS/SSL または DTLS サーバーをパディングオラクルとして使用することで、暗号化パケットから平文を取得する可能性があります。(CVE-2013-0169)OpenSSL における OCSP 応答検証に、NULL ポインターデリファレンスの欠陥が見つかりました。悪意のある OCSP サーバーはこの欠陥を利用して特別に細工された応答を送信することで、OCSP 検証を行うアプリケーションをクラッシュさせる可能性があります。(CVE-2013-0166)
オプションの圧縮が使用された際、TLS/SSL プロトコルが平文に関する情報を漏洩する可能性があることがわかりました。攻撃者が、暗号化された TLS/SSL 接続で送信される平文の一部をコントロールできた場合、この欠陥を利用して、平文のその他の部分を復元できる可能性があります。(CVE-2012-4929)
注：この更新は、OpenSSL で以前にデフォルトで有効化されていた zlib 圧縮を無効化しています。OpenSSL を使用するアプリケーションは、zlib 圧縮を明示的に有効化する必要があります。
権限のある（setuid または setgid）アプリケーションによって使用された場合でも、 OpenSSL は特定の環境変数を読み込むことがわかりました。ローカルの攻撃者はこの欠陥を利用して、権限を昇格する可能性があります。Scientific Linux 5 および 6 に同梱されているアプリケーションで、この問題の影響を受けるものはありません。
更新を有効にするには、 OpenSSL ライブラリにリンクされているすべてのサービスを再起動するか、システムを再起動する必要があります。
ソリューション
影響を受けるパッケージを更新してください。参考資料
プラグインの詳細
深刻度: Medium
ID: 65022
ファイル名: sl_20130304_openssl_on_SL5_x.nasl
バージョン: 1.12
タイプ: local
エージェント: unix
公開日: 2013/3/5
更新日: 2022/12/5
サポートされているセンサー: Nessus Agent, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 4.9
CVSS v2
リスクファクター: Medium
基本値: 5
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:N/I:N/A:P
脆弱性情報
CPE: p-cpe:/a:fermilab:scientific_linux:openssl, p-cpe:/a:fermilab:scientific_linux:openssl-debuginfo, p-cpe:/a:fermilab:scientific_linux:openssl-devel, p-cpe:/a:fermilab:scientific_linux:openssl-perl, p-cpe:/a:fermilab:scientific_linux:openssl-static, x-cpe:/o:fermilab:scientific_linux
必要な KB アイテム: Host/local_checks_enabled, Host/cpu, Host/RedHat/release, Host/RedHat/rpm-list
パッチ公開日: 2013/3/4
脆弱性公開日: 2012/9/15