リモートホストにインストールされているnginxのバージョンは、0.5.6以降、1.6.x1.6.2より前、1.7.x1.7.5より前です。したがって、SSLセッションまたはTLSセッションのチケットキー処理のエラーによる影響を受けます。ファイル「event/ngx_event_openssl.c」に欠陥が存在するため、リモートの攻撃者は、機密情報を入手するか、セッションをコントロールできる可能性があります。

注意：この問題の影響を受けるのは、複数の「server{}」構成で、「ssl_session_cache」または「ssl_session_ticket_key」に対して同じ値を共有しているサーバーのみです。

検出

nginx < 1.6.2 / 1.7.5 SSL セッションの再利用

medium Nessus プラグイン ID 78386

バージョン 1.15