MS KB3062760：Juniper Networks Windows In-Box Junos Pulse Client での脆弱性に対する更新（FREAK）

medium Nessus プラグイン ID 84058

Language:

概要

リモート Windows ホストに、複数の脆弱性の影響を受ける VPN クライアントソフトウェアがインストールされています。

説明

リモート Windows ホストに KB3062760 がありません。これは、Windows 8.1 に同梱されている Juniper Networks Windows In-Box Junos Pulse クライアントで、次の複数の OpenSSL の脆弱性を解決します：

- ServerKeyExchange メッセージなしで ECDSA 証明書を使用するときの ECDH ハンドシェイクに欠陥が存在します。これにより、リモートの攻撃者が、暗号スイートからのforward secrecyの損失を発生させる可能性があります。（CVE-2014-3572）

- FREAK（RSA-EXPORT キーに対するファクター攻撃）と呼ばれるセキュリティ機能のバイパスの脆弱性が存在します。これは、512 ビッド以下のキーで弱い EXPORT_RSA 暗号化パッケージがサポートされているため、存在します。中間者攻撃者は、EXPORT_RSA暗号化パッケージを使用するためにSSL / TLS接続をダウングレードできる可能性があります。これは、短時間でファクタリングできるため、攻撃者は、トラフィックを傍受し、復号することができます。（CVE-2015-0204）

- CertificateVerifyメッセージのないクライアント認証の場合、 DH証明書を受け取る際に、欠陥が存在します。
これにより、リモートの攻撃者が、秘密鍵なしでサービスに対して認証を行う可能性があります。（CVE-2015-0205）