Oracle GlassFish Server 複数の脆弱性（2015 年 4 月 CPU）（POODLE）

low Nessus プラグイン ID 82902

Language:

概要

リモート Web サーバーは、複数の脆弱性の影響を受けます。

説明

リモートホストで実行されているバージョンの GlassFish Server は、複数の脆弱性の影響を受けます。

- バンドル化された cURL および libcurl パッケージに、欠陥が存在しています。
証明書 CN および SAN の名前フィールドの検証（CURLOPT_SSL_VERIFYHOST）は、デジタル署名認証（CURLOPT_SSL_VERIFYPEER）が無効化されると、無効化されます。これにより、中間者攻撃を行う攻撃者は、任意の有効な証明書から SSL サーバーを偽装することができます。
(CVE-2013-4545)

- X.509 証明書における ASN.1 値の不適切な解析により、バンドル化された Network Security Service（NSS）ライブラリに、欠陥が存在しています。これにより、中間者攻撃を行う攻撃者は、細工された証明書から RSA 署名を偽装することができます。(CVE-2014-1568)

- POODLE として知られている中間者（MitM）情報漏洩の脆弱性。この脆弱性の原因は、暗号ブロック連鎖（CBC）モードでブロック暗号を使用して暗号化されたメッセージの復号を行う際の、SSL 3.0 のパディングバイトの処理方法によるものです。新たに作成した SSL 3.0 接続を通じて被害を受けるアプリケーションに同じデータを繰り返し送信させることができる場合、MitM 攻撃者は、暗号テキスト内の選択したバイトを、わずか 256 回の試行で復号できます。(CVE-2014-3566)