リモートホストにインストールされている Oracle Access Manager は、Web サーバープラグインのサブコンポーネントにある情報漏えいの脆弱性の影響を受けます。これは、バンドルされている OpenSSL ライブラリに存在する複数の欠陥によるものです。具体的に挙げると、crypto/evp/e_aes_cbc_hmac_sha1.c ファイルの aesni_cbc_hmac_sha1_cipher() 関数、および crypto/evp/e_aes_cbc_hmac_sha256.c ファイルの aesni_cbc_hmac_sha256_cipher() 関数で、これは接続が AES-CBC 暗号を使用し、AES-NI がサーバーにサポートされている場合にトリガーされます。中間者攻撃の攻撃者が、これらの欠陥を悪用して、パディングオラクル攻撃を行い、ネットワークトラフィックを解読する機能を取得する可能性があります。

検出

Oracle Access Manager Webgate の情報漏えい（2016 年 7 月 CPU）

medium Nessus プラグイン ID 93121

バージョン 1.561