検出

openSUSE セキュリティ更新：zeromq（openSUSE-SU-2014:1493-1）

medium Nessus プラグイン ID 79575

Language:

概要

リモート openSUSE ホストに、セキュリティ更新がありません。

説明

zeromq はバージョン 4.0.5 に更新され、２ つのセキュリティ問題とさまざまな他のバグが修正されました。

これらのセキュリティの問題が修正されました：

- 他の当事者のセキュリティハンドシェイクを適切に検証しないため、中間者ダウングレード攻撃が引き起こされる可能性があります（CVE-2014-7202）。

- 接続 nonce で一意性のチェックを実装しませんでした。また、CurveZMQ RFC が nonce の検証について曖昧でした。これにより、反射攻撃が引き起こされる可能性があります（CVE-2014-7203）。

この更新で修正された他の問題：

- CURVE メカニズムは、短期の nonce を検証しません。

- stream_engine はダウングレード攻撃に脆弱です。

- Windows の WSAENOTSOCK のアサ―ション失敗。

- inproc ソケット接続中の競合状態。

- ライブラリ番号が 4.0.0 になるように更新します

- アサーションが失敗しました：多くの ZAP リクエスト後の !more（fq.cpp:99）。

- inproc:// 上のメッセージの最初の部分が失われました。

ソリューション

影響を受ける zeromq パッケージを更新してください。

参考資料

https://bugzilla.opensuse.org/show_bug.cgi?id=898917

https://lists.opensuse.org/opensuse-updates/2014-11/msg00101.html

プラグインの詳細

深刻度: Medium

ID: 79575

ファイル名: openSUSE-2014-713.nasl

バージョン: 1.4

タイプ: local

エージェント: unix

公開日: 2014/11/26

更新日: 2021/1/19

サポートされているセンサー: Frictionless Assessment Agent, Frictionless Assessment AWS, Frictionless Assessment Azure, Nessus Agent, Nessus

リスク情報

VPR

リスクファクター: Low

スコア: 3.6

CVSS v2

リスクファクター: Medium

基本値: 4.3

ベクトル: CVSS2#AV:N/AC:M/Au:N/C:N/I:P/A:N

脆弱性情報

CPE: p-cpe:/a:novell:opensuse:libzmq4, p-cpe:/a:novell:opensuse:libzmq4-debuginfo, p-cpe:/a:novell:opensuse:zeromq-debugsource, p-cpe:/a:novell:opensuse:zeromq-devel, cpe:/o:novell:opensuse:13.2

必要な KB アイテム: Host/local_checks_enabled, Host/SuSE/release, Host/SuSE/rpm-list, Host/cpu

パッチ公開日: 2014/11/14

参照情報

CVE: CVE-2014-7202, CVE-2014-7203