Oracle Linux 5/6：openssl（ELSA-2013-0587）
medium Nessus プラグイン ID 68768
言語 :
New! Vulnerability Priority Rating (VPR)
Tenable では、すべての脆弱性に対して動的な VPR が計算されます。VPR は脆弱性の情報を、脅威インテリジェンスや機械学習アルゴリズムと組み合わせて、攻撃時に最も悪用される可能性の高い脆弱性を予測します。詳細は、 「VPR とは何で、CVSS とはどう違うのか」を参照してください。
VPR スコア : 6.5
概要
リモート Oracle Linux ホストに、1 つ以上のセキュリティ更新がありません。説明
Red Hat セキュリティアドバイザリ 2013:0587 から：複数のセキュリティ問題を修正する更新済みの openssl パッケージが、Red Hat Enterprise Linux 5 および 6 で現在利用可能です。
Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。
OpenSSL は、Secure Sockets Layer（SSL v2/v3）および Transport Layer Security （TLS v1）プロトコル、ならびに全強度の汎用暗号化ライブラリを実装するツールキットです。
CBC-モード暗号化パッケージを使用した場合、TLS/SSL および DTLS プロトコル暗号化レコードを復号する時に、OpenSSL がタイミング情報を漏洩することがわかりました。リモートの攻撃者がこの欠陥を利用して、TLS/SSL または DTLS サーバーをパディングオラクルとして使用することで、暗号化パケットから平文を取得する可能性があります。(CVE-2013-0169)
OpenSSL における OCSP 応答検証に、NULL ポインターデリファレンスの欠陥が見つかりました。悪意のある OCSP サーバーはこの欠陥を利用して特別に細工されたレスポンスを送信することで、OCSP 検証を行うアプリケーションをクラッシュさせる可能性があります。(CVE-2013-0166)
オプションの圧縮が使用された際、TLS/SSL プロトコルが平文に関する情報を漏洩する可能性があることがわかりました。攻撃者が、暗号化された TLS/SSL 接続で送信される平文の一部をコントロールできた場合、この欠陥を利用して、平文のその他の部分を復元できる可能性があります。(CVE-2012-4929)
注：この更新は、OpenSSL で以前にデフォルトで有効化されていた zlib 圧縮を無効化しています。OpenSSL を使用するアプリケーションは、zlib 圧縮を明示的に有効化する必要があります。
権限のある（setuid または setgid）アプリケーションによって使用された場合でも、 OpenSSL は特定の環境変数を読み込むことがわかりました。ローカルの攻撃者はこの欠陥を利用して、権限を昇格する可能性があります。Red Hat Enterprise Linux 5 および 6 に標準装備のアプリケーションで、この問題の影響を受けるものはありません。（BZ#839735）
OpenSSL の全ユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を解決する必要があります。更新を有効にするには、 OpenSSL ライブラリにリンクされているすべてのサービスを再起動するか、システムを再起動する必要があります。
ソリューション
影響を受ける openssl パッケージを更新してください。関連情報
https://oss.oracle.com/pipermail/el-errata/2013-March/003326.html
https://oss.oracle.com/pipermail/el-errata/2013-March/003327.html
プラグインの詳細
深刻度: Medium
ID: 68768
ファイル名: oraclelinux_ELSA-2013-0587.nasl
バージョン: 1.15
タイプ: local
エージェント: unix
公開日: 2013/7/12
更新日: 2021/1/14
依存関係: ssh_get_info.nasl
リスク情報
リスクファクター: Medium
VPR スコア: 6.5
CVSS v2.0
Base Score: 5
Temporal Score: 3.7
ベクトル: AV:N/AC:L/Au:N/C:N/I:N/A:P
現状ベクトル: E:U/RL:OF/RC:C
脆弱性の情報
CPE: p-cpe:/a:oracle:linux:openssl, p-cpe:/a:oracle:linux:openssl-devel, p-cpe:/a:oracle:linux:openssl-perl, p-cpe:/a:oracle:linux:openssl-static, cpe:/o:oracle:linux:5, cpe:/o:oracle:linux:6
必要な KB アイテム: Host/local_checks_enabled, Host/OracleLinux, Host/RedHat/release, Host/RedHat/rpm-list
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2013/3/5
脆弱性公開日: 2012/9/15
参照情報
RHSA: 2013:0587