Debian DSA-3413-1:openssl - セキュリティ更新

high Nessus プラグイン ID 87212

概要

リモート Debian ホストに、セキュリティ更新がありません。

説明

Secure Sockets Layer のツールキットである OpenSSL で、多数の脆弱性が発見されています。Common Vulnerabilities and Exposures プロジェクトでは、次の問題を特定しています:

- CVE-2015-3194 Qnective AG の Loic Jonas Etienne 氏は、マスク生成関数パラメーターの欠如した RSA PSS アルゴリズムを使用する ASN.1 署名が提示された場合、NULL ポインターデリファレンスによる署名認証ルーチンのクラッシュが発生することを発見しました。リモートの攻撃者がこの欠陥を悪用して、証明書認証操作をクラッシュさせ、DoS 攻撃(サービス拒否攻撃)を仕掛ける可能性があります。

- CVE-2015-3195 Google/BoringSSL の Adam Langley 氏は、誤った形式の X509_ATTRIBUTE 構造により、OpenSSL にメモリ漏洩が発生することを発見しました。

- CVE-2015-3196 PSK identity hint の処理において競合状態が発生する欠陥が発見されました。これにより、identify hint データの二重解放が発生する可能性があります。

ソリューション

openssl パッケージをアップグレードしてください。

旧安定版(oldstable)ディストリビューション(wheezy)では、これらの問題はバージョン 1.0.1e-2+deb7u18 で修正されています。

安定版(stable)ディストリビューション(jessie)では、これらの問題はバージョン 1.0.1k-3+deb8u2 で修正されました。

関連情報

https://security-tracker.debian.org/tracker/CVE-2015-3194

https://security-tracker.debian.org/tracker/CVE-2015-3195

https://security-tracker.debian.org/tracker/CVE-2015-3196

https://packages.debian.org/source/wheezy/openssl

https://packages.debian.org/source/jessie/openssl

https://www.debian.org/security/2015/dsa-3413

プラグインの詳細

深刻度: High

ID: 87212

ファイル名: debian_DSA-3413.nasl

バージョン: 2.16

タイプ: local

エージェント: unix

公開日: 2015/12/7

更新日: 2021/1/11

サポートされているセンサー: Frictionless Assessment Agent, Nessus Agent

リスク情報

VPR

リスクファクター: Low

スコア: 3.6

CVSS v2

リスクファクター: Medium

Base Score: 5

Temporal Score: 3.7

ベクトル: AV:N/AC:L/Au:N/C:N/I:N/A:P

現状ベクトル: E:U/RL:OF/RC:C

CVSS v3

リスクファクター: High

Base Score: 7.5

Temporal Score: 6.5

ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

現状ベクトル: E:U/RL:O/RC:C

脆弱性情報

CPE: p-cpe:/a:debian:debian_linux:openssl, cpe:/o:debian:debian_linux:7.0, cpe:/o:debian:debian_linux:8.0

必要な KB アイテム: Host/local_checks_enabled, Host/Debian/release, Host/Debian/dpkg-l

エクスプロイトの容易さ: No known exploits are available

パッチ公開日: 2015/12/4

参照情報

CVE: CVE-2015-3194, CVE-2015-3195, CVE-2015-3196

DSA: 3413