AIX OpenSSL アドバイザリ：openssl_advisory2.asc

high Nessus プラグイン ID 73560

Language:

概要

リモート AIX ホストで、脆弱なバージョンの OpenSSL が実行されています。

説明

リモートホストで実行中の OpenSSL は、次の脆弱性の影響を受けるバージョンです：

- 0.9.8h から 0.9.8q および 1.0.0 から 1.0.0c までの OpenSSL の ssl/t1_lib.c により、リモートの攻撃者が、サービス拒否（クラッシュ）を引き起こし、OpenSSL を使用するアプリケーションで機密情報を取得する可能性があります。これは、無効な形式の ClientHello ハンドシェイクメッセージを介して行われ、領域外メモリアクセスを引き起こします。「OCSP Stapling の脆弱性」としても知られています。（CVE-2011-0014）

- 0.9.8f から 0.9.8o、1.0.0　および 1.0.0a の OpenSSL の ssl/t1_lib.c における複数の競合状態により、マルチスレッドと内部キャッシングが TLS サーバーで有効な場合、リモートの攻撃者が、ヒープベースのバッファオーバーフローを発生させるクライアントデータを介して、任意のコードを実行する可能性があります。これは、(1) TLS サーバー名の拡張と (2) 楕円曲線暗号に関連しています。
（CVE-2010-3864）

- 0.9.8q より前、および 1.0.0c より前の 1.0.x の OpenSSL が、SSL_OP_NETSCAPE_REUSE_CIPHER_CHANGE_BUG が有効な場合に、セッションキャッシュにおける暗号スイートの変更を適切に回避していません。これにより、リモートの攻撃者が、セッション識別子を発見するためのネットワークトラフィックを盗聴するベクトルを介して、意図していない暗号へのダウングレードを強制する可能性があります。（CVE-2010-4180）

ソリューション

修正は使用することができ、AIX の Web サイトからダウンロードできます。

tar ファイルから修正を抽出する方法：

zcat openssl.0.9.8.1302.tar.Z | tar xvf - または zcat openssl-fips.12.9.8.1302.tar.Z | tar xvf - または zcat openssl.0.9.8.808.tar.Z | tar xvf -

重要：可能であれば、システムの mksysb バックアップ作成を推奨します。続行する前に、起動可能であり、読み取り可能であることを検証します。

修正のインストールをプレビューする方法：

installp -apYd . openssl

修正パッケージをインストールする方法：

installp -aXYd . openssl