Oracle GlassFish Server 複数の脆弱性（2015 年 4 月 CPU）（POODLE）

high Nessus プラグイン ID 82902

言語:

概要

リモート Web サーバーは、複数の脆弱性の影響を受けます。

説明

リモートホストで実行されているバージョンの GlassFish Server は、複数の脆弱性の影響を受けます。

- バンドル化された cURL および libcurl パッケージに、欠陥が存在しています。
証明書 CN および SAN の名前フィールドの検証（CURLOPT_SSL_VERIFYHOST）は、デジタル署名認証（CURLOPT_SSL_VERIFYPEER）が無効化されると、無効化されます。これにより、中間者攻撃を行う攻撃者は、任意の有効な証明書から SSL サーバーを偽装することができます。
(CVE-2013-4545)

- X.509 証明書における ASN.1 値の不適切な解析により、バンドル化された Network Security Service（NSS）ライブラリに、欠陥が存在しています。これにより、中間者攻撃を行う攻撃者は、細工された証明書から RSA 署名を偽装することができます。(CVE-2014-1568)

- POODLE として知られている中間者（MitM）情報漏洩の脆弱性。この脆弱性の原因は、暗号ブロック連鎖（CBC）モードでブロック暗号を使用して暗号化されたメッセージの復号を行う際の、SSL 3.0 のパディングバイトの処理方法によるものです。新たに作成した SSL 3.0 接続を通じて被害を受けるアプリケーションに同じデータを繰り返し送信させることができる場合、MitM 攻撃者は、暗号テキスト内の選択したバイトを、わずか 256 回の試行で復号できます。(CVE-2014-3566)

ソリューション

2015 年　4　月　Oracle Critical Patch Update アドバイザリで言及されているように、GlassFish Server 2.1.1.25/3.0.1.11/3.1.2.11 またはそれ以降にアップグレードしてください。

プラグインの詳細

深刻度: High

ID: 82902

ファイル名: glassfish_cpu_apr_2015.nasl

バージョン: 1.16

タイプ: remote

ファミリー: Web Servers

公開日: 2015/4/20

更新日: 2019/11/22

リスク情報

VPR

リスクファクター: Medium

スコア: 6.6

CVSS v2

リスクファクター: High

Base Score: 7.5

Temporal Score: 5.5

ベクトル: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:P

現状ベクトル: CVSS2#E:U/RL:OF/RC:C

CVSS スコアのソース: CVE-2014-1568

脆弱性情報

CPE: cpe:/a:oracle:glassfish_server

必要な KB アイテム: www/glassfish

エクスプロイトの容易さ: No known exploits are available

パッチ公開日: 2015/4/14

脆弱性公開日: 2013/10/3

参照情報

CVE: CVE-2013-4545, CVE-2014-1568, CVE-2014-3566

BID: 63776, 70116, 70574

CERT: 577193, 772676