Oracle Solaris サードパーティのパッチの更新：openssl（lucky_thirteen_vulnerability_in_solaris）

medium Nessus プラグイン ID 80719

Language:

概要

リモートの Solaris システムに、サードパーティのソフトウェアに対するセキュリティのパッチがありません。

説明

リモートの Solaris システムに、次のセキュリティの更新に対処するのに必要なパッチがありません：

- OpenSSL の 0.9.8y より前、1.0.0k より前の 1.0.0、1.0.1d より前の 1.0.1 が、OCSP 応答の署名認証を適切に実行していません。これにより、リモート OCSP サーバーが、無効なキーでサービス拒否（NULL ポインターデリファレンスとアプリケーションクラッシュ）を引き起こす可能性があります。
(CVE-2013-0166)

- OpenSSL、OpenJDK、PolarSSL、ならびに他の製品で使用されている TLS プロトコル 1.1 と 1.2 および DTLS プロトコル 1.0 と 1.2 が、無効な形式の CBC パディングの処理中に MAC チェック要件でタイミングサイドチャネル攻撃について適切な配慮をしていません。これにより、リモートの攻撃者が、細工されたパケットのタイミングデータの統計分析により、差別化された攻撃と平文リカバリ攻撃を行う可能性があります。これは、「Lucky Thirteen」の問題としても知られています。(CVE-2013-0169)