AIX OpenSSLアドバイザリ：openssl_advisory6.asc

medium Nessus プラグイン ID 73564

Language:

概要

リモート AIX ホストで、脆弱なバージョンの OpenSSL が実行されています。

説明

リモートホストで実行中の OpenSSL は、次の脆弱性の影響を受けるバージョンです：

- 注意深く細工された無効な TLS ハンドシェイクにより、OpenSSL が NULL ポインター例外でクラッシュする可能性があります。悪意のあるサーバーがこの欠陥を利用して、接続しているクライアントをクラッシュさせる可能性があります。
この問題の影響を受けるのは、OpenSSL 1.0.1 バージョンのみです。
（CVE-2013-4353）

- DTLS 処理時の欠陥により、OpenSSL と DTLS を使用しているアプリケーションがクラッシュする可能性があります。これは 1.0.0 より前の OpenSSL の脆弱性ではありません。OpenSSL が、サービス拒否に脆弱です。この脆弱性は、DTLS 再送の実装がダイジェストおよび暗号化のコンテキストのデータ構造を適切に保持できないために生じています。リモートの攻撃者がこの脆弱性を悪用して、デーモンをクラッシュさせる可能性があります。（CVE-2013-6450）

- OpenSSL の欠陥により、TLS バージョン 1.2 を使用すると、OpenSSL を使用しているアプリケーションがクラッシュする可能性があります。この問題の影響を受けるのは、OpenSSL 1.0.1 バージョンのみです。OpenSSL は、ssl_get_algorithm2 関数のエラーによって発生するサービス拒否に脆弱です。リモートの攻撃者がこの脆弱性を悪用して、TLS 1.2クライアントからの特別に細工されたトラフィックを使用することにより、デーモンをクラッシュさせる可能性があります。（CVE-2013-6449）

ソリューション

修正は使用することができ、AIX の Web サイトからダウンロードできます。

tar ファイルから修正を抽出する方法：

zcat openssl-1.0.1.501.tar.Z | tar xvf -

重要：可能であれば、システムの mksysb バックアップを作成することを推奨します。続行する前に、起動可能であり、読み取り可能であることを検証します。

修正のインストールをプレビューする方法：

installp -apYd . openssl

修正パッケージをインストールする方法：

installp -aXYd . openssl