中間者攻撃者がパディングオラクル攻撃を使用して、AES-NI をサポートするサーバーとの AES CBC 暗号を使用する接続のトラフィックを解読することを可能にする脆弱性が発見されました。
（CVE-2016-2107、重要度高）

ASN.1 パーサーが、大きなユニバーサルタグを負の値と誤って解釈する可能性があることが判明しました。アプリケーションが ANY フィールドが含まれた信頼できない ASN.1 構造を逆シリアル化し、その後再度シリアル化した場合、攻撃者が領域外書き込みを発生させ、悪用可能なメモリ破損を引き起こすことができる可能性があります。（CVE-2016-2108、重要度高）

EVP_EncodeUpdate() 関数にオーバーフローのバグが発見されました。攻撃者が大量の入力データを供給して長さチェックのオーバーフローを発生させ、ヒープ破損を引き起こす可能性があります。（CVE-2016-2105、重要度低）

EVP_EncryptUpdate() 関数にオーバーフローのバグが発見されました。攻撃者が大量の入力データを供給して長さチェックのオーバーフローを発生させ、ヒープ破損を引き起こす可能性があります。（CVE-2016-2106、重要度低）

d2i_CMS_bio() などの BIO 関数に、ASN.1 データの短い無効なエンコーディングが大量のメモリ割り当てを引き起こし、サービス拒否を発生させる可能性がある問題が発見されました。
（CVE-2016-2109、重要度低）

検出

Amazon Linux AMI：openssl（ALAS-2016-695）

critical Nessus プラグイン ID 90864

変更ログが見つかりません