OpenSSL が DTLS Secure Real-time Transport Protocol（SRTP）拡張データを解析していた過程に、メモリ漏洩の欠陥が見つかりました。リモートの攻撃者が、特別に細工された複数のハンドシェイクメッセージを送信し、 SSL/TLS または DTLS サーバーのすべての利用可能なメモリを消費する可能性があります。（CVE-2014-3513）

OpenSSL が失敗したセッションチケットの整合性チェックを処理する方法で、メモリ漏洩の欠陥が見つかりました。リモートの攻撃者が、大量の無効なセッションチケットを SSL/TLS または DTLS サーバーに送信することにより、このサーバーのすべての利用可能なメモリを消費する可能性があります。（CVE-2014-3567）

OpenSSL が「no-ssl3」をビルドオプションに設定して構成されると、サーバーが SSL 3.0 ハンドシェイクを受け入れ、完了できるようになり、

クライアントがそれらを送信するように構成される可能性があります。（CVE-2014-3568）

検出

Amazon Linux AMI：openssl（ALAS-2014-427）

high Nessus プラグイン ID 78485

変更ログが見つかりません