複数のセキュリティ問題を修正する更新済みの openssl パッケージが、Red Hat Enterprise Linux 6 および 7 で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

OpenSSL は、Secure Sockets Layer（SSL v2/v3）および Transport Layer Security （TLS v1）プロトコル、ならびに全強度の汎用暗号化ライブラリを実装するツールキットです。

OpenSSL が特定の DTLS ハンドシェイクメッセージを処理していた方法で、無効な解放の欠陥が見つかりました。悪意のある DTLS クライアントまたはサーバーは、 OpenSSL を使用している DTLS サーバーまたはクライアントをクラッシュさせることや、任意のコードを実行させる可能性があります。(CVE-2014-8176)

Red Hat Enterprise Linux 6 および 7 とともに出荷されている OpenSSL パッケージが、ssleay_rand_bytes() 関数でのロックを行っていた方法で、欠陥が見つかりました。この問題により、OpenSSL を使用しているマルチスレッドアプリケーションが領域外読み取りを行うことや、クラッシュすることがあります。
(CVE-2015-3216)

OpenSSL の X509_cmp_time() 関数に、領域外読み込みの欠陥が見つかりました。特別に細工された X.509 証明書または証明書失効リスト（CRL）により、OpenSSL を使用している TLS/SSL サーバーまたはクライアントがクラッシュする可能性があります。(CVE-2015-1789)

OpenSSL のコードを処理するセッションに、競合状態が見つかりました。
この問題により、OpenSSL を使用しているマルチスレッド TLS/SSL クライアントがセッションチケットデータを二重解放することや、クラッシュする可能性があります。(CVE-2015-1791)

OpenSSL が暗号メッセージ構文（CMS）メッセージを処理していた方法で、欠陥が見つかりました。不明なハッシュ関数識別子を含む CMS メッセージにより、 OpenSSL を使用しているアプリケーションがクラッシュし、無限ループに陥ることがあります。(CVE-2015-1792)

OpenSSL が特定の PKCS#7 入力を処理する方法で、 NULL ポインターデリファレンスが見つかっています。EncryptedContent データの欠如した特別に細工された PKCS#7 入力により、OpenSSL を使用しているアプリケーションがクラッシュすることがあります。(CVE-2015-1790)

Red Hat は、CVE-2014-8176、CVE-2015-1789、CVE-2015-1790、CVE-2015-1791、および CVE-2015-1792 の欠陥を報告してくれた OpenSSL プロジェクトに感謝の意を表します。Upstream では、CVE-2014-8176 の最初の報告者として Praveen Kariyanahalli 氏および Ivan Fratric 氏、CVE-2015-1789 の最初の報告者として Robert Swiecki 氏および Hanno Böck 氏、 CVE-2015-1790 の最初の報告者として Michal Zalewski 氏、 CVE-2015-1791 の最初の報告者として Emilia Käsper 氏、 CVE-2015-1792 の最初の報告者として Johannes Bauer 氏を認識しています。

openssl の全ユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を修正することが推奨されます。更新を有効にするには、 OpenSSL ライブラリにリンクされているすべてのサービスを再起動するか、システムを再起動する必要があります。

検出

CentOS 6 / 7：openssl（CESA-2015:1115）

high Nessus プラグイン ID 84199

変更ログが見つかりません