Oracle Linux 6 / 7 : openssl (ELSA-2014-1652) (POODLE)
critical Nessus プラグイン ID 78529
Language:
概要
リモートの Oracle Linux ホストに、1 つ以上のセキュリティ更新プログラムがありません。説明
Red Hat セキュリティアドバイザリ 2014:1652 から :CVE-2014-3566 の問題を緩和し、2 つのセキュリティ問題を修正するバックポートされたパッチが含まれる更新済みの openssl パッケージが、Red Hat Enterprise Linux 6 と 7 で現在利用可能です。
Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System (CVSS) のベーススコアは、「参照」セクションの CVE リンクから脆弱性ごとに確認できます。
OpenSSL は、Secure Sockets Layer (SSL)、Transport Layer Security (TLS)、および Datagram Transport Layer Security (DTLS) プロトコルのほか、フルパワーの汎用暗号ライブラリを実装するツールキットです。
この更新は TLS Fallback Signaling Cipher Suite Value (TLS_FALLBACK_SCSV) へのサポートを追加しています。サポートされている最も高いプロトコルバージョンを指定する最初の接続が失敗した際に、SSL/TLS プロトコルのバージョンを下げて再接続を行うアプリケーションに対するプロトコルのダウングレード攻撃を防ぐために使用することができます。
これは、SSL 3.0 への通信の強制的なダウングレードを防ぐことができます。
暗号ブロックチェーン (CBC) モードでブロック暗号化パッケージを使用した場合、SSL 3.0 プロトコルにパディングオラクル攻撃への脆弱性があることがわかりました。この問題は CVE-2014-3566 として認識され、別名 POODLE としても知られています。この SSL 3.0 プロトコルの欠陥は、今後の更新では対処されません。安全な通信のために、ユーザーは TLS プロトコルバージョン 1.0 以上を必要とするようにアプリケーションを構成することが推奨されます。
この欠陥の詳細については、Knowledge Base の記事 (https://access.redhat.com/articles/1232123) を参照してください
OpenSSL が DTLS Secure Real-time Transport Protocol (SRTP) 拡張データを解析していた過程に、メモリ漏洩の欠陥が見つかりました。リモートの攻撃者が、特別に細工された複数のハンドシェイクメッセージを送信し、SSL/TLS または DTLS サーバーのすべての利用可能なメモリを消費する可能性があります。(CVE-2014-3513)
OpenSSL が失敗したセッションチケットの整合性チェックを処理する方法で、メモリ漏洩の欠陥が見つかりました。リモートの攻撃者が、大量の無効なセッションチケットを SSL/TLS または DTLS サーバーに送信することにより、このサーバーのすべての利用可能なメモリを消費する可能性があります。(CVE-2014-3567)
OpenSSL の全ユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、CVE-2014-3566 の問題を緩和し、CVE-2014-3513 および CVE-2014-3567 の問題を修正することが推奨されます。更新を有効にするには、OpenSSL ライブラリにリンクされているすべてのサービス (httpd などの SSL が有効なサービスなど) を再起動するか、システムを再起動する必要があります。
ソリューション
影響を受ける openssl パッケージを更新してください。参考資料
プラグインの詳細
深刻度: Critical
ID: 78529
ファイル名: oraclelinux_ELSA-2014-1652.nasl
バージョン: 1.36
タイプ: local
エージェント: unix
公開日: 2014/10/17
更新日: 2024/11/1
サポートされているセンサー: Frictionless Assessment Agent, Nessus Agent, Continuous Assessment, Nessus
リスク情報
VPR
リスクファクター: Low
スコア: 3.6
CVSS v2
リスクファクター: High
基本値: 7.1
現状値: 5.3
ベクトル: CVSS2#AV:N/AC:M/Au:N/C:N/I:N/A:C
CVSS スコアのソース: CVE-2014-3567
CVSS v3
リスクファクター: Critical
基本値: 9.8
現状値: 8.5
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C
脆弱性情報
CPE: p-cpe:/a:oracle:linux:openssl-static, p-cpe:/a:oracle:linux:openssl-perl, cpe:/o:oracle:linux:7, p-cpe:/a:oracle:linux:openssl-devel, p-cpe:/a:oracle:linux:openssl-libs, p-cpe:/a:oracle:linux:openssl, cpe:/o:oracle:linux:6
必要な KB アイテム: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/OracleLinux
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2014/10/16
脆弱性公開日: 2014/10/15
参照情報
CVE: CVE-2014-3513, CVE-2014-3567
BID: 64530, 64618, 64691, 66690, 66801, 67193, 67898, 67899, 67900, 67901, 69075, 69076, 69078, 69079, 69081, 69082, 69084, 70574, 70584, 70586
RHSA: 2014:1652