遠端服務使用已利用經密碼編譯的弱式雜湊演算法 (如 MD2、MD4、MD5 或 SHA1) 簽署的 SSL 憑證鏈。已知這些簽章演算法容易受到衝突攻擊影響。攻擊者可加以惡意利用，產生具有相同數位簽章的其他憑證，藉此偽裝成受影響的服務。

請注意，此外掛程式會報告所有透過 SHA-1 簽署且在 2017 年 1 月 1 日之後到期的 SSL 憑證鏈為弱點。做法是依照 Google 的 SHA-1 密碼編譯雜湊演算法逐步淘汰。

請注意，包含在 Nessus CA 資料庫 (known_CA.inc)中的憑證鏈已遭略過。

远程服务使用通过密码弱哈希算法（例如 MD2、MD4、MD5 或 SHA1）签名的 SSL 证书链。已知这些签名算法容易遭受碰撞攻击。攻击者可利用此漏洞生成具有相同数字签名的其他证书，从而允许攻击者伪装成受影响的服务。

请注意，该插件将把 2017 年 1 月 1 日之后过期的所有 SHA-1 签名 SSL 证书链报告为漏洞。这符合 Google 逐渐汰换 SHA-1 加密哈希算法的做法。

请注意，已忽略 Nessus CA 数据库 (known_CA.inc) 包含的链中的证书。

This update for subversion to 1.9.7 fixes security issues and bugs.

The following vulnerabilities were fixed :

  - CVE-2017-9800: A remote attacker could have caused svn     clients to execute arbitrary code via specially crafted     URLs in svn:externals and svn:sync-from-url properties.
    (boo#1051362)

  - CVE-2005-4900: SHA-1 collisions may cause repository     inconsistencies (boo#1026936)

The following bugfix changes are included :

  - Add instructions for running svnserve as a user     different from 'svn', and remove sysconfig variables     that are no longer effective with the systemd unit.
    (boo#1049448)

The remote service uses an SSL certificate chain that has been signed using a cryptographically weak hashing algorithm (e.g. MD2, MD4, MD5, or SHA1). These signature algorithms are known to be vulnerable to collision attacks. An attacker can exploit this to generate another certificate with the same digital signature, allowing an attacker to masquerade as the affected service.

Note that this plugin reports all SSL certificate chains signed with SHA-1 that expire after January 1, 2017 as vulnerable. This is in accordance with Google's gradual sunsetting of the SHA-1 cryptographic hash algorithm.

Note that certificates in the chain that are contained in the Nessus CA database (known_CA.inc) have been ignored.

この1.9.7へのsubversionの更新では、セキュリティ問題とバグが修正されます。

次の脆弱性が修正されました：

  - CVE-2017-9800: リモートの攻撃者は、以下の特別な細工をしたURLを介して、svnクライアントに任意のコードを実行する可能性があります：externalsおよびsvn: sync-from-urlプロパティ。
    （boo#1051362）

  - CVE-2005-4900: SHA-1衝突により、リポジトリの不整合が発生する可能性があります（boo#1026936）

以下のバグ修正の変更が含まれています：

  -「svn」とは異なるユーザーとしてsvnserveを実行するための指示を追加し、systemdユニットで有効ではないsysconfig変数を削除します。
    （boo#1049448）

リモートサービスは、暗号的に弱いハッシュアルゴリズム（MD2、MD4、MD5、SHA1 など）を使って署名された SSL 証明書チェーンを使用します。これらの署名アルゴリズムは、衝突攻撃に脆弱であることが知られています。攻撃者はこれを悪用して、同じデジタル署名の別の証明書を生成し、これによって攻撃者は、影響を受けるサービスになりすますことができます。

このプラグインは、2017年1月1日より後に期限切れとなる、SHA-1で署名したすべてのSSL証明書チェーンを脆弱性として報告します。これは、GoogleがSHA-1暗号ハッシュアルゴリズムを段階的に廃止していくことに従ったものです。

Nessus CA データベース（known_CA.inc）に含まれているチェーン内の証明書はすでに無視されていることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
35291	使用弱式雜湊演算法簽署的 SSL 憑證	Nessus	General	2009/1/5	2023/12/15	high
35291	使用弱哈希算法签名的 SSL 证书	Nessus	General	2009/1/5	2023/12/15	high
102559	openSUSE Security Update : subversion (openSUSE-2017-940)	Nessus	SuSE Local Security Checks	2017/8/18	2021/1/19	critical
135580	SUSE SLES12 Security Update : git (SUSE-SU-2020:0992-1)	Nessus	SuSE Local Security Checks	2020/4/15	2022/5/13	critical
35291	SSL Certificate Signed Using Weak Hashing Algorithm	Nessus	General	2009/1/5	2023/12/15	high
102559	openSUSEセキュリティ更新プログラム：subversion（openSUSE-2017-940）	Nessus	SuSE Local Security Checks	2017/8/18	2021/1/19	critical
35291	弱いハッシュアルゴリズムを使用して署名した SSL 証明書	Nessus	General	2009/1/5	2023/12/15	high
135580	SUSE SLES12セキュリティ更新プログラム：git（SUSE-SU-2020:0992-1）	Nessus	SuSE Local Security Checks	2020/4/15	2022/5/13	critical

検出

プラグインの検索

high

high

critical

critical

high

critical

high

critical