実装のバグにより、PA-RISCのCRYPTO_memcmp関数は各バイトの最下位ビットのみを比較するように事実上縮小されました。これにより、認証されたとみなされるメッセージを、この方式のセキュリティクレームで保証されているよりも少ない試行回数で攻撃者が偽造する可能性があります。このモジュールはHP-UXアセンブラーでのみコンパイルできるため、HP-UX PA-RISCの標的のみが影響を受けます。（CVE-2018-0733）再帰的な定義を持つ構築されたASN.1型（PKCS7にあるものなど）は、過剰な再帰がある悪意のある入力が与えられた場合、最終的にスタックを超える可能性があります。これにより、サービス拒否攻撃が引き起こされる可能性があります。SSL/TLSでは信頼できないソースからのそのような構成は使用されていないので、安全であると考えられます。（CVE-2018-0739）

バージョン1.1.0hへのマイナーな更新。

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

リモートホストにインストールされているTenable SecurityCenterアプリケーションには、セキュリティパッチがありません。したがって、バンドル化されたバージョンのOpenSSLにある複数の脆弱性の影響を受けます。

リモートホストは、GLSA-201811-21（OpenSSL：複数の脆弱性）で説明されている脆弱性による影響を受けます。複数の脆弱性がOpenSSLで発見されています。詳細については、記載されているCVE識別番号を参照してください。影響：リモートの攻撃者が、サービス拒否状態を引き起こしたり、秘密鍵素材を入手したり、機密情報へのアクセス権を取得する可能性があります。回避策：現時点では、既知の回避策はありません。

リモートホストにインストールされている OpenSSL のバージョンは、1.1.0h より前です。したがって、1.1.0h のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - 再帰的定義を使用して構築された ASN.1 タイプ (PKCS7 にあるものなど) は、過剰な再帰を含む悪意のある入力がされた場合に、最終的にスタックを越える可能性があります。これにより、サービス拒否攻撃が引き起こされる可能性があります。SSL/TLS では信頼できないソースからのそのような構成は使用されていないので、安全であると考えられます。OpenSSL 1.1.0h で修正されました (1.1.0-1.1.0g が影響を受けます)。OpenSSL 1.0.2o で修正されました (1.0.2b-1.0.2n が影響を受けます)。(CVE-2018-0739)

  - 実装のバグにより、PA-RISC の CRYPTO_memcmp 関数は各バイトの最下位ビットのみを比較するように事実上縮小されました。これにより、認証されたとみなされるメッセージを、この方式のセキュリティクレームで保証されているよりも少ない試行回数で攻撃者が偽造する可能性があります。モジュールは HP-UX アセンブラのみによりコンパイルできるため、影響を受けるのは HP-UX PA-RISC ターゲットのみです。OpenSSL 1.1.0h で修正されました (1.1.0-1.1.0g が影響を受けます)。(CVE-2018-0733)

  1024 ビットの係数を使用した累乗で使用される AVX2 Montgomery 積算プロシージャにオーバーフローのバグがあります。EC アルゴリズムは影響を受けません。分析によれば、この欠陥の結果を使用して RSA と DSA に対する攻撃を実行するのは非常に難しく、その可能性は低いと考えられます。DH1024に対する攻撃は、秘密鍵に関する情報の推測に必要な作業のほとんどがオフラインで実行される可能性があるため、可能であると考えられます。そのような攻撃に必要なリソースの量は莫大です。ただし、TLSに対する攻撃が意味をなすためには、サーバーが複数のクライアント間でDH1024秘密鍵を共有する必要があります。これはCVE-2016-0701以降ではできなくなりました。これはAVX2をサポートするプロセッサーにのみ影響しますが、Intel Haswell (第4世代) などのADX 拡張機能は影響を受けません。注意: この問題の影響は CVE-2017-3736、CVE-2017-3732、CVE-2015-3193 と同様です。OpenSSL バージョン 1.0.2-1.0.2m および1.1.0-1.1.0g が影響を受けます。OpenSSL 1.0.2n で修正されました。この問題の深刻度は低いため、現時点では OpenSSL 1.1.0の新しいリリースは行われていません。この修正は、利用可能になった時点で OpenSSL 1.1.0h に含まれます。修正は、OpenSSL git リポジトリのコミット e502cc86d でも利用可能です。
    (CVE-2017-3738)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされているOracle Secure Global Desktopのバージョンは5.3/5.4で、2018年7月のCritical Patch Update（CPU）からのセキュリティパッチがありません。したがって、次の複数の脆弱性の影響を受けます：-curlのバージョンcurl 7.54.1からcurl 7.59.0まで、ヒープベースのバッファオーバーフローの脆弱性がFTP接続に含まれており、機能を停止させてDoS状態やRCE状態を引き起こす可能性があります。この脆弱性は、curlの7.54.1より前のバージョンと7.60.0以降のバージョンでは修正されていると見られます。（CVE-2018-1000300）-Apache Tomcat 9.0.0.M1から9.0.4、8.5.0から8.5.27、8.0.0.RC1から8.0.49、7.0.0から7.0.84で、Servletのアノテーションにより定義されるセキュリティ制約は、Servletが読み込まれた後にのみ適用されていました。Servletが読み込まれた順番によっては、一部のセキュリティ制約が適用されない可能性がありました。これにより、権限のないユーザーにリソースを漏えいさせた可能性があります。（CVE-2018-1305）-再帰的な定義を持つASN.1タイプは、過剰な再帰を用いた悪意のある入力を受けてスタックを超過する可能性があります。これにより、サービス拒否攻撃が引き起こされる可能性があります。OpenSSL 1.1.0hで修正されました（1.1.0-1.1.0gに影響を与える）。OpenSSL 1.0.2oで修正されました（1.0.2b-1.0.2nに影響を与える）。（CVE-2018-0739）

リモートホストにインストールされているOracle Enterprise Manager Cloud Controlのバージョンは、Enterprise Manager Base Platformコンポーネントにある複数の脆弱性による影響を受けます。- 詳細不明な脆弱性がEnterprise Manager Ops CenterのNetworking（jQuery）サブコンポーネントにあります。サポートされているバージョンで影響を受けるのは、12.2.2および12.3.3です。容易に悪用できる脆弱性であり、ネットワークアクセス権を持つ認証されていない攻撃者が、HTTPを介してEnterprise Manager Ops Centerを侵害する可能性があります。この攻撃を成功させるには人間の関与が必要で、Enterprise Manager Ops Centerのアクセス可能データに不正な更新、挿入、削除を行う可能性があります。（CVE-2015-9251）- Enterprise Manager Ops CenterのNetworking（OpenSSL）サブコンポーネントに詳細不明な脆弱性があります。サポートされているバージョンで影響を受けるのは、12.2.2および12.3.3です。容易に悪用できる脆弱性であり、ネットワークアクセス権を持つ認証されていない攻撃者が、HTTPSを介してOracle WebCenter Portalを侵害する可能性があります。この脆弱性を利用した攻撃に成功すると、権限なしにEnterprise Manager Ops Centerをハングさせたり、頻繁にクラッシュを繰り返させたり（完全な DOS）できるようになる可能性があります。（CVE-2018-0732）- Enterprise Manager Ops CenterのNetworking（cURL）サブコンポーネントに詳細不明な脆弱性があります。サポートされているバージョンで影響を受けるのは、12.2.2および12.3.3です。悪用が難しい脆弱性ですが、ネットワークアクセスのある認証されていない攻撃者が、HTTPを介してEnterprise Manager Ops Centerを侵害する可能性があります。攻撃を成功させるには攻撃者以外の人物の関与が必要で、Enterprise Manager Ops Centerを乗っ取る可能性があります。（CVE-2018-1000300）

ID	名前	製品	ファミリー	公開日	更新日	深刻度
112092	Amazon Linux AMI：openssl（ALAS-2018-1065）	Nessus	Amazon Linux Local Security Checks	2018/8/24	2025/3/26	medium
108776	Fedora 27：1：openssl（2018-76afaf1961）	Nessus	Fedora Local Security Checks	2018/4/2	2025/4/4	medium
106563	Tenable SecurityCenter OpenSSL 1.0.2 < 1.0.2nの複数の脆弱性	Nessus	Misc.	2018/2/2	2025/2/18	high
108775	Fedora 26：1：openssl（2018-40dc8b8b16）	Nessus	Fedora Local Security Checks	2018/4/2	2025/4/4	medium
119275	GLSA-201811-21：OpenSSL：複数の脆弱性	Nessus	Gentoo Local Security Checks	2018/11/29	2025/3/24	medium
105292	OpenSSL 1.1.0 < 1.1.0h の複数の脆弱性	Nessus	Web Servers	2017/12/15	2025/2/18	high
111333	Oracle Secure Global Desktopの複数の脆弱性（2018年7月CPU）	Nessus	Misc.	2018/7/25	2021/10/25	critical
120390	Fedora 28：1: openssl（2018-49651b2236）	Nessus	Fedora Local Security Checks	2019/1/3	2025/3/21	medium
131184	Oracle Enterprise Manager Ops Center（2019年1月CPU）	Nessus	Misc.	2019/11/21	2024/11/4	critical

検出

プラグインの検索

medium

medium

high

medium

medium

high

critical

medium

critical