Oracle Linux 5:openssl(ELSA-2010-0054)

medium Nessus プラグイン ID 67989
New! プラグインの深刻度には CVSS v3 が適用されるようになりました。

プラグインの深刻度は、デフォルトで CVSS v3 を使って計算されるように更新されました。プラグインに CVSS v3 スコアがない場合には、CVSS v2 を使って深刻度が計算されます。深刻度の表示設定は、[設定]のドロップダウンで切り替えができます。

概要

リモート Oracle Linux ホストに、1 つ以上のセキュリティ更新がありません。

説明

Red Hat セキュリティアドバイザリ 2010:0054 から:

2 つのセキュリティ問題を解決する更新済みの openssl パッケージが、 Red Hat Enterprise Linux 5.で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新は重要度中のセキュリティ影響があると評価しています。

OpenSSL は、Secure Sockets Layer(SSL v2/v3)および Transport Layer Security (TLS v1)プロトコル、ならびに全強度の汎用暗号化ライブラリを実装するツールキットです。

OpenSSL ライブラリは CRYPTO_cleanup_all_ex_data() 関数の前回の呼び出し後、SSL_library_init() 関数の内部状態を適切に再初期化せず、これによってその後の SSL 接続それぞれに対してメモリ漏洩が発生することが分かりました。この欠陥によって、 Apache HTTP Server、mod_ssl、PHP、および cURL の組み合わせなどの、リロード中にこれらの関数を呼び出すサーバーアプリケーションが使用可能なメモリを全て消費し、サービス拒否が発生することがあります。(CVE-2009-4355)

Dan Kaminsky 氏は、MD2 がもはや暗号強度の高いアルゴリズムとは見なせなくなった場合ですら、ブラウザが MD2 ハッシュッ署名付きの証明書を承認してしまうことを発見しました。これにより攻撃者は、悪意のある証明書を簡単に作成して、ブラウザにその証明書を信頼できるものとして処理させる場合があります。OpenSSL はデフォルトで、署名内の MD2 アルゴリズムを無効にするようになりました。(CVE-2009-2409)

OpenSSL の全ユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を解決する必要があります。更新を有効にするには、 OpenSSL ライブラリにリンクされているすべてのサービスを再起動するか、システムを再起動する必要があります。

ソリューション

影響を受ける openssl パッケージを更新してください。

関連情報

https://oss.oracle.com/pipermail/el-errata/2010-January/001332.html

プラグインの詳細

深刻度: Medium

ID: 67989

ファイル名: oraclelinux_ELSA-2010-0054.nasl

バージョン: 1.10

タイプ: local

エージェント: unix

公開日: 2013/7/12

更新日: 2021/1/14

依存関係: ssh_get_info.nasl

リスク情報

VPR

リスクファクター: Medium

スコア: 5.9

CVSS v2

リスクファクター: Medium

Base Score: 5.1

Temporal Score: 3.8

ベクトル: AV:N/AC:H/Au:N/C:P/I:P/A:P

現状ベクトル: E:U/RL:OF/RC:C

脆弱性情報

CPE: p-cpe:/a:oracle:linux:openssl, p-cpe:/a:oracle:linux:openssl-devel, p-cpe:/a:oracle:linux:openssl-perl, cpe:/o:oracle:linux:5

必要な KB アイテム: Host/local_checks_enabled, Host/OracleLinux, Host/RedHat/release, Host/RedHat/rpm-list

エクスプロイトの容易さ: No known exploits are available

パッチ公開日: 2010/1/21

脆弱性公開日: 2009/7/30

参照情報

CVE: CVE-2009-2409, CVE-2009-4355

BID: 31692

RHSA: 2010:0054

CWE: 310, 399