GLSA-201404-07:OpenSSL:情報漏洩

high Nessus プラグイン ID 73407

概要

リモートの Gentoo ホストでは、セキュリティに関連するパッチが少なくとも 1 つ不足しています。

説明

リモートホストは、GLSA-201404-07 で説明されている脆弱性の影響を受けます(OpenSSL:情報漏洩)

OpenSSL に複数の脆弱性が見つかりました:
OpenSSL が TLS ハートビート拡張のメモリを不適切に処理します。これにより、リクエストごとに 64kb の情報漏洩が引き起こされ、これには秘密鍵も含まれる可能性があります(“ハートブリードバグ”、OpenSSL 1.0.1 のみ、CVE-2014-0160)。
OpenSSL のモンゴメリラダーの実装は、スワップ操作を不適切に処理します(CVE-2014-0076)。
影響:

リモートの攻撃者が、これらの問題を悪用して、秘密鍵や他の機密情報を含む情報を漏洩したり、ECDSA nonce を取得するためにサイドチャネル攻撃を実行したりする可能性があります。
回避策:

tls-heartbeat USE フラグを無効化する(デフォルトでは有効化されています)ことにより、CVE-2014-0160 の問題の回避策が提供されます。

ソリューション

OpenSSL の全ユーザーは、最新バージョンへアップグレードする必要があります:
# emerge --sync # emerge --ask --oneshot --verbose '>=dev-libs/openssl-1.0.1g' 注:更新を有効にするには、TLS 接続を提供する OpenSSL を使用しているすべてのサービスを再起動する必要があります。app-admin/lib_users のようなユーティリティは、OpenSSL を使用しているプログラムを特定するのに役立つ可能性があります。
秘密鍵がハートブリード攻撃でセキュリティ上危険にさらされる可能性がありますので、再生成することが推奨されます。

参考資料

http://heartbleed.com/

http://www.gentoo.org/security/en/glsa/glsa-201404-07.xml

プラグインの詳細

深刻度: High

ID: 73407

ファイル名: gentoo_GLSA-201404-07.nasl

バージョン: 1.15

タイプ: local

公開日: 2014/4/8

更新日: 2022/5/5

サポートされているセンサー: Nessus

リスク情報

VPR

リスクファクター: Medium

スコア: 6.9

CVSS v2

リスクファクター: High

Base Score: 9.4

Temporal Score: 7.8

ベクトル: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:N

脆弱性情報

CPE: p-cpe:/a:gentoo:linux:openssl, cpe:/o:gentoo:linux

必要な KB アイテム: Host/local_checks_enabled, Host/Gentoo/release, Host/Gentoo/qpkg-list

エクスプロイトが利用可能: true

エクスプロイトの容易さ: Exploits are available

パッチ公開日: 2014/4/8

CISA の既知の悪用された脆弱性の期限日: 2022/5/25

エクスプロイト可能

Core Impact

Metasploit (OpenSSL Heartbeat (Heartbleed) Information Leak)

参照情報

CVE: CVE-2014-0076, CVE-2014-0160

BID: 66363

GLSA: 201404-07