Mandriva Linux セキュリティアドバイザリ：openssl（MDVSA-2014:106）
high Nessus プラグイン ID 74415
Language:
概要
リモート Mandriva Linux ホストには、1 つ以上のセキュリティ更新がありません。説明
OpenSSL に複数の脆弱性が発見され、修正されました。0.9.8za より前、1.0.0m より前の 1.0.0、および 1.0.1h より前の 1.0.1 の OpenSSL で、 d1_both.c の dtls1_reassemble_fragment 関数が、 DTLS ClientHello メッセージのフラグメントの長さを正しく検証しません。このため、リモートの攻撃者が、任意のコードを実行したり、長い非初期フラグメントを通じてサービス拒否（バッファオーバーフローおよびアプリケーションクラッシュ）を引き起こしたりする可能性があります（CVE-2014-0195）。
0.9.8za より前、1.0.0m より前の 1.0.0 および 1.0.1h より前の1.0.1 の OpenSSL で、 d1_both.c の dtls1_get_message_fragment 関数により、リモートの攻撃者が、無効な DTLS ハンドシェイクの DTLS hello メッセージで、サービス拒否（再帰およびクライアントのクラッシュ）を引き起こす可能性があります（CVE-2014-0221）。
0.9.8za より前、1.0.0m より前の 1.0.0、および 1.0.1h より前の 1.0.1 の OpenSSL は、 ChangeCipherSpec メッセージの処理を適切に制限ません。このため、中間者攻撃者が、特定の OpenSSL 間通信でゼロレングスマスターキーの使用を引き起こし、その結果、細工された TLS ハンドシェイク（CCS インジェクションの脆弱性とも呼ぶ）を利用して、セッションをハイジャックしたり、機密情報を入手する可能性があります（CVE-2014-0224）。
匿名の ECDH 暗号化パッケージを使用する際、0.9.8za より前、 1.0.0m より前の 1.0.0 および 1.0.1h より前の 1.0.1 の OpenSSL の s3_clnt.c の ssl3_send_client_key_exchange 関数により、リモートの攻撃者が、 NULL 証明書値を引き起こすることを通じて、サービス拒否（NULL ポインターデリファレンスおよびクライアントのクラッシュ）を引き起こす可能性があります（CVE-2014-3470）。
更新済みパッケージが、これらのセキュリティ上の欠陥が修正された 1.0.0m バージョンにアップグレードされています。
ソリューション
影響を受けるパッケージを更新してください。参考資料
プラグインの詳細
深刻度: High
ID: 74415
ファイル名: mandriva_MDVSA-2014-106.nasl
バージョン: 1.15
タイプ: local
公開日: 2014/6/10
更新日: 2021/1/6
サポートされているセンサー: Nessus
リスク情報
VPR
リスクファクター: High
スコア: 7.7
CVSS v2
リスクファクター: High
基本値: 9.3
現状値: 7.7
ベクトル: CVSS2#AV:N/AC:M/Au:N/C:C/I:C/A:C
脆弱性情報
CPE: p-cpe:/a:mandriva:linux:lib64openssl-devel, p-cpe:/a:mandriva:linux:lib64openssl-engines1.0.0, p-cpe:/a:mandriva:linux:lib64openssl-static-devel, p-cpe:/a:mandriva:linux:lib64openssl1.0.0, p-cpe:/a:mandriva:linux:openssl, cpe:/o:mandriva:business_server:1
必要な KB アイテム: Host/local_checks_enabled, Host/cpu, Host/Mandrake/release, Host/Mandrake/rpm-list
エクスプロイトが利用可能: true
エクスプロイトの容易さ: Exploits are available
パッチ公開日: 2014/6/9
エクスプロイト可能
Core Impact
参照情報
CVE: CVE-2014-0195, CVE-2014-0221, CVE-2014-0224, CVE-2014-3470
BID: 67898, 67899, 67900, 67901
MDVSA: 2014:106