リモートホストにインストールされている OpenSSL のバージョンは、1.1.0i より前です。したがって、1.1.0i のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - プロセッサーの同時マルチスレッド (SMT) により、ローカルユーザーが「ポート競合」のサイドチャネルタイミング攻撃を介して、タイミング攻撃に対して脆弱なソフトウェアを悪用する可能性があります。(CVE-2018-5407)

  - DH(E) ベースの暗号スイートを使用する TLS ハンドシェイクにおける鍵合意の間に、悪意のあるサーバーが非常に大きな素数値をクライアントに送信する可能性があります。これによってクライアントはこの素数のための鍵を生成することに不要に長い時間を費やし、それが終了するまでハング状態になります。これは、DoS 攻撃 (サービス拒否攻撃) の手段として悪用される可能性があります。OpenSSL 1.1.0i-dev で修正されました (1.1.0-1.1.0h が影響を受けます)。OpenSSL 1.0.2p-dev で修正されました (1.0.2-1.0.2o が影響を受けます)。(CVE-2018-0732)

  - OpenSSL RSA キー生成アルゴリズムは、chache タイミングサイドチャネル攻撃に対して脆弱であることが分かっています。RSA 鍵生成プロセス中にキャッシュタイミング攻撃をマウントできるアクセス権を持つ攻撃者が、秘密鍵を復元する可能性があります。OpenSSL 1.1.0i-dev で修正されました (1.1.0-1.1.0h が影響を受けます)。OpenSSL 1.0.2p-dev で修正されました (1.0.2b-1.0.2o が影響を受けます)。(CVE-2018-0737)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

compat-openssl098のこの更新プログラムでは、以下のセキュリティ問題が修正されています：

CVE-2018-0732：DH(E)ベースの暗号スイートを使用するTLSハンドシェイクにおける鍵合意の間に、悪意のあるサーバーが非常に大きな素数値をクライアントに送信することができました。これによってクライアントはこの素数のための鍵を生成することに不要に長い時間を費やし、それが終了するまでハング状態になりました。これは、DoS攻撃（サービス拒否攻撃）の手段として悪用される可能性があります（bsc#1097158）

ECDSAとDSAのブラインディング強化（bsc#1097624、bsc#1098592）

CVE-2018-0737：RSAキー生成アルゴリズムは、chacheタイミングサイドチャンネル攻撃に対して脆弱であることが分かっています。RSA鍵生成プロセス中にキャッシュタイミング攻撃をマウントできるアクセス権を持つ攻撃者が、秘密鍵を復元する可能性がありました（bsc#1089039）

CVE-2018-0739：再帰的定義を使用して構築されたASN.1タイプ（PKCS7にあるものなど）は、過剰な再帰を含む悪意のある入力がされた場合に、最終的にスタックを越える可能性があります。これにより、DoSを引き起こす可能性がありました（bsc#1087102）。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

compat-openssl098のこの更新プログラムでは、以下のセキュリティ問題が修正されています：

  - CVE-2018-0732：DH(E)ベースの暗号スイートを使用するTLSハンドシェイクにおける鍵合意の間に、悪意のあるサーバーが非常に大きな素数値をクライアントに送信することができました。これによってクライアントはこの素数のための鍵を生成することに不要に長い時間を費やし、それが終了するまでハング状態になりました。これは、DoS攻撃（サービス拒否攻撃）の手段として悪用される可能性があります（bsc#1097158）

  - ECDSAとDSAのブラインディング強化（bsc#1097624、bsc#1098592）

  - CVE-2018-0737：RSAキー生成アルゴリズムは、chacheタイミングサイドチャンネル攻撃に対して脆弱であることが分かっています。RSA鍵生成プロセス中にキャッシュタイミング攻撃をマウントできるアクセス権を持つ攻撃者が、秘密鍵を復元する可能性がありました（bsc#1089039）

  - CVE-2018-0739：再帰的定義を使用して構築されたASN.1タイプ（PKCS7にあるものなど）は、過剰な再帰を含む悪意のある入力がされた場合に、最終的にスタックを越える可能性があります。これにより、DoSを引き起こす可能性がありました（bsc#1087102）。

この更新プログラムは、SUSE: SLE-12: Update更新プロジェクトからインポートされました。

自己報告されたバージョンによると、リモートホストで実行されている Tenable Nessus アプリケーションは、8.0.0より前です。そのため、以下の複数の脆弱性の影響を受けます。

  - Tenable Nessus では、バンドルされているサードパーティコンポーネントの OpenSSL ライブラリにおいて、TLS ハンドシェイク中のキー処理に欠陥があり、そのため、TLS ハンドシェイク中のキー処理によりサービス拒否が引き起こされる脆弱性があります。(CVE-2018-0732)

  - Tenable Nessus では、バンドルされているサードパーティコンポーネントの OpenSSL ライブラリにおいて RSA 鍵生成アルゴリズムに欠陥が含まれているため、キャッシュタイミングのサイドチャネル攻撃により秘密鍵を復元される可能性があります。(CVE-2018-0737)

更新プログラムが、RHEL 7のJBoss Core Servicesで利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重大度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。このリリースでは、JBoss Core Services製品の一部である新しいApache HTTP Server 2.4.37パッケージが追加されました。このリリースは、Red Hat JBoss Core Services Pack Apache Server 2.4.29を置き換え、バグ修正プログラムおよび拡張機能を提供します。このリリースに含まれる最も重要なバグ修正プログラムおよび拡張機能については、リリースノートを参照してください。セキュリティ修正プログラム：* openssl：crypto/rsa/rsa_gen.cのRSAキー生成キャッシュタイミングの脆弱性により、攻撃者は秘密鍵を復元できます（CVE-2018-0737）* openssl：DSA署名アルゴリズムのタイミングサイドチャネル攻撃（CVE-2018-0734）* mod_auth_digest：競合状態によるアクセス制御のバイパス（CVE-2019-0217） * openssl：SMT/Hyper-Threadingアーキテクチャのサイドチャネル攻撃の脆弱性（PortSmash）（CVE-2018-5407）* mod_session_cookieが有効期限を考慮しない （CVE-2018-17199）* mod_http2：DoS via 遅延された不要なリクエスト本体を通じたDoS（CVE-2018-17189）* mod_http2：最新版へのアップグレードでクラッシュする可能性（CVE-2019-0197）* mod_http2：文字列比較でのメモリ解放後読み取り（CVE-2019-0196）* nghttp2：HTTP/2：大量のデータリクエストがサービス拒否を引き起こす可能性（CVE-2019-9511）* nghttp2：HTTP/2：PRIORITYフレームを使用したフラッディングによる、リソースの過剰消費（CVE-2019-9513）* mod_http2：HTTP/2：長さ0のヘッダーがサービス拒否を引き起こす（CVE-2019-9516）* mod_http2：HTTP/2：大きな応答を要求するとサービス拒否を引き起こす（CVE-2019-9517）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
112120	OpenSSL 1.1.0 < 1.1.0iの複数の脆弱性	Nessus	Web Servers	2018/8/27	2025/3/26	medium
117450	SUSE SLED12 / SLES12セキュリティ更新プログラム：compat-openssl098（SUSE-SU-2018:2683-1）	Nessus	SuSE Local Security Checks	2018/9/12	2025/3/25	medium
117476	openSUSEセキュリティ更新プログラム：compat-openssl098（openSUSE-2018-997）	Nessus	SuSE Local Security Checks	2018/9/13	2025/3/25	medium
118398	Tenable Nessus<8.0.0の複数の脆弱性（TNS-2018-14）	Nessus	Misc.	2018/10/26	2026/10/30	medium
131216	RHEL 7：JBoss Core Services（RHSA-2019:3933）（0-Length Headers Leak）（Data Dribble）（Internal Data Buffering）（Resource Loop）	Nessus	Red Hat Local Security Checks	2019/11/22	2024/11/7	high

検出

プラグインの検索

medium

medium

medium

medium

high