OracleVM 3.3：openssl （OVMSA-2014-0032）（Heartbleed）（POODLE）
high Nessus プラグイン ID 79547
言語:
概要
リモートの OracleVM ホストにセキュリティ更新がありません。説明
リモートの OracleVM システムに、重要なセキュリティ更新に対処するために必要なパッチがありません。- CVE-2014-3567 を修正します - セッションチケットの処理中のメモリ漏洩
- CVE-2014-3513 を修正します - srtp サポートのメモリ漏洩
- 一部緩和するためにフォールバック SCSV サポートを追加（CVE-2014-3566）（SSL3 におけるパディング攻撃）
- DTLS に ECC TLS 拡張を追加（#1119800）
- CVE-2014-3505 を修正します - DTLS パケット処理での二重解放
- CVE-2014-3506 を修正します - DTLS でメモリ枯渇を回避します
- CVE-2014-3507 を修正します - DTLS でメモリリークを回避します
- CVE-2014-3508 を修正します - OID 処理を修正して情報漏洩を回避します
- CVE-2014-3509 を修正します - サーバー hello を解析する際の競合状態を修正します
- CVE-2014-3510 を修正します - DTLS での匿名（EC）DH 処理で DoS を修正します
- CVE-2014-3511 を修正します - 断片化によるプロトコルダウングレードを許可しません
- EAP-FAST セッション再開支援を妨害した修正 CVE-2014-0224 を修正
- デフォルトの暗号リストから EXPORT、RC2 および DES をドロップ（#1057520）
-TLS ハンドシェイクでネゴシエートしたエフェメラルキーサイズを印刷する（#1057715）
- SSLv2 クライアントの hello メッセージに ECC 暗号スイートを含めない（#1090952）
- BIO の暗号化の失敗を正しく検出する（#1100819）
- .hmac ファイルが空の場合に、hmac の完全性チェックが失敗する（#1105567）
- FIPS モード：環境変数 OPENSSL_ENFORCE_MODULUS_BITS が設定されている場合のみ、DSA、DH および RSA の keygen 長に強制的に制限を設ける
- CVE-2010-5298 を修正します - 解放後のメモリが使用できる可能性
- CVE-2014-0195 を修正します - 無効な DTLS フラグメントでバッファオーバーフロー
- CVE-2014-0198 を修正します - NULL ポインターデリファレンスの可能性
- CVE-2014-0221 を修正します - 無効な DTLS ハンドシェイクパケットからの DoS
- CVE-2014-0224 を修正します - SSL/TLS MITM の脆弱性
- CVE-2014-3470 を修正します - 匿名 ECDH の使用時にクライアントサイドで DoS
- secp521r1 EC カーブにバックサポートを追加
- CVE-2014-0160 を修正します - TLS のハートビート拡張における情報漏洩
- FIPS のセルフテストで 2048 ビット RSA キーを使用
- FIPS CAVS テストに必要な DH_compute_key_padded を追加
- 3des の強度を 168 から 128 ビットになるように変更（#1056616）
- FIPS モード：2048 ビット未満の DSA キーおよび DH パラメーターを生成しない
- FIPS モード：承認済みの RSA keygen を使う（2048 および 3072 ビットキーのみを許可）
- FIPS モード：DH セルフテストを追加
- FIPS モード：RAND_add に DRBG を正しく再シード
- FIPS モード：RSA 暗号化 / 復号化セルフテストを追加
- FIPS モード：2^32 GCM ブロック暗号化に同じキーでハードリミットを追加
- req -newkey rsa が呼び出される場合に、
構成ファイルのキー長を使う
- CVE-2013-4353 を修正します - 無効な TLS ハンドシェイククラッシュ
- CVE-2013-6450 を修正します - DTLS1 に対する MiTM 攻撃の可能性
- CVE-2013-6449 を修正します - SSL 構造のバージョンが正しくない場合にクラッシュ
- 誤ってドロップされた一部の no-op シンボルを戻して追加
ソリューション
影響を受ける openssl パッケージを更新してください。関連情報
プラグインの詳細
深刻度: High
ID: 79547
ファイル名: oraclevm_OVMSA-2014-0032.nasl
バージョン: 1.23
タイプ: local
公開日: 2014/11/26
更新日: 2022/5/5
リスク情報
VPR
リスクファクター: High
スコア: 8.3
CVSS v2
リスクファクター: High
Base Score: 9.4
Temporal Score: 7.8
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:N
CVSS v3
リスクファクター: High
Base Score: 7.5
Temporal Score: 7
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
現状ベクトル: CVSS:3.0/E:F/RL:O/RC:C
脆弱性情報
CPE: p-cpe:/a:oracle:vm:openssl, cpe:/o:oracle:vm_server:3.3
必要な KB アイテム: Host/local_checks_enabled, Host/OracleVM/release, Host/OracleVM/rpm-list
エクスプロイトが利用可能: true
エクスプロイトの容易さ: Exploits are available
パッチ公開日: 2014/11/6
脆弱性公開日: 2013/12/23
CISAの既知の悪用日: 2022/5/25
エクスプロイト可能
Core Impact
参照情報
CVE: CVE-2010-5298, CVE-2013-4353, CVE-2013-6449, CVE-2013-6450, CVE-2014-0160, CVE-2014-0195, CVE-2014-0198, CVE-2014-0221, CVE-2014-0224, CVE-2014-3470, CVE-2014-3505, CVE-2014-3506, CVE-2014-3507, CVE-2014-3508, CVE-2014-3509, CVE-2014-3510, CVE-2014-3511, CVE-2014-3513, CVE-2014-3566, CVE-2014-3567
BID: 64530, 64618, 64691, 66690, 66801, 67193, 67898, 67899, 67900, 67901, 69075, 69076, 69078, 69079, 69081, 69082, 69084, 70574, 70584, 70586