リモートホストにインストールされている AOS のバージョンは、6.7.1.5 より前です。したがって、NXSA-AOS-6.7.1.5 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - 1.0.2m より前の OpenSSL および 1.1.0g より前の 1.1.0には、x86_64 Montgomery 二乗プロシージャにキャリー伝播のバグがあります。EC アルゴリズムは影響を受けません。分析によれば、この欠陥の結果を使用して RSA と DSA に対する攻撃を実行するのは非常に難しく、その可能性は低いと考えられます。DH に対する攻撃は、秘密鍵に関する情報の推測に必要な作業のほとんどがオフラインで実行される可能性があるため、(実行は非常に困難ではあるものの) 可能であると考えられます。そのような攻撃に必要なリソースの量は非常に多く、実行できる攻撃者の数は限られていると考えられます。永続的なDHパラメーターと複数のクライアントで共有される秘密鍵があるシナリオでは、攻撃者は標的の秘密鍵を使用して、パッチが適用されていないシステムへオンラインでアクセスする必要があります。この問題は、Intel Broadwell (第 5 世代) 以降や AMD Ryzen のような BMI1、BMI2、ADX 拡張機能をサポートするプロセッサーにのみ影響します。(CVE-2017-3736)

  - X.509 証明書の IPAddressFamily 拡張子を解析するときに、1 バイトのオーバーリードが行われる可能性があります。これにより証明書のテキストが正しく表示されなくなります。このバグは 2006 年以降存在し、1.0.2m および 1.1.0g より前の OpenSSL のすべてのバージョンに存在します。(CVE-2017-3735)

  1024 ビットの係数を使用した累乗で使用される AVX2 Montgomery 積算プロシージャにオーバーフローのバグがあります。EC アルゴリズムは影響を受けません。分析によれば、この欠陥の結果を使用して RSA と DSA に対する攻撃を実行するのは非常に難しく、その可能性は低いと考えられます。DH1024に対する攻撃は、秘密鍵に関する情報の推測に必要な作業のほとんどがオフラインで実行される可能性があるため、可能であると考えられます。そのような攻撃に必要なリソースの量は莫大です。ただし、TLSに対する攻撃が意味をなすためには、サーバーが複数のクライアント間でDH1024秘密鍵を共有する必要があります。これはCVE-2016-0701以降ではできなくなりました。これはAVX2をサポートするプロセッサーにのみ影響しますが、Intel Haswell (第4世代) などのADX 拡張機能は影響を受けません。注意: この問題の影響は CVE-2017-3736、CVE-2017-3732、CVE-2015-3193 と同様です。OpenSSL バージョン 1.0.2-1.0.2m および1.1.0-1.1.0g が影響を受けます。OpenSSL 1.0.2n で修正されました。この問題の深刻度は低いため、現時点では OpenSSL 1.1.0の新しいリリースは行われていません。この修正は、利用可能になった時点で OpenSSL 1.1.0h に含まれます。修正は、OpenSSL git リポジトリのコミット e502cc86d でも利用可能です。
    (CVE-2017-3738)

  - Apache Tomcat の不完全なクリーンアップの脆弱性。Apache Tomcat 9.0.70 から 9.0.80 および 8.5.85 から 8.5.93 でパッケージ化された Commons FileUpload の内部フォークには、リリースされていないの進行中のリファクタリングが含まれており、アップロードされたファイルのストリームを開いたもののウェブアプリケーションがストリームを閉じなかった場合に、Windows 上でサービス拒否が発生する可能性がありました。ファイルがディスクから削除されずにいるとディスクの容量がなくなり、いずれサービス拒否が発生する可能性があります。この問題が修正されている、バージョン 9.0.81 以降または 8.5.94 以降にアップグレードすることが推奨されます。(CVE-2023-42794)

  - Apache Tomcat の不完全なクリーンアップの脆弱性。11.0.0-M1 から 11.0.0-M11、10.1.0-M1 から 10.1.13、9.0.0-M1 から 9.0.80、および 8.5.0 から 8.5.93 までの Apache Tomcat でさまざまな内部オブジェクトをリサイクルすると、エラーが発生して Tomcat がリサイクルプロセスの一部をスキップし、現在のリクエストおよび応答から次のリクエストおよび応答に情報が漏洩する可能性があります。古い、EOL バージョンも影響を受ける可能性があります。ユーザーは、この問題を修正するバージョン 11.0.0-M12 以降、 10.1.14 以降、 9.0.81 以降、 8.5.94 以降にアップグレードすることが推奨されます。CVE-2023-42795

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

opensslのこの更新プログラムでは、以下のセキュリティ問題が修正されています：

  - CVE-2018-0737：RSAキー生成アルゴリズムは、chacheタイミングサイドチャンネル攻撃に対して脆弱であることが分かっています。RSA鍵生成プロセス中にキャッシュタイミング攻撃をマウントできるアクセス権を持つ攻撃者が、秘密鍵を復元する可能性がありました（bsc#1089039）

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

このopensslの更新では、次の問題を修正します：

次のセキュリティ問題が修正されました：

RSAでのOne＆Doneサイドチャネル攻撃を防ぎます。これにより、物理的に近くにいる攻撃者がEM発散を使用して、情報を回復することができました（bsc#1104789）

CVE-2018-0737：RSAキー生成アルゴリズムは、chacheタイミングサイドチャンネル攻撃に対して脆弱であることが分かっています。RSA鍵生成プロセス中にキャッシュタイミング攻撃をマウントできるアクセス権を持つ攻撃者が、秘密鍵を復元する可能性がありました（bsc#1089039）

更新パッケージには、セキュリティ以外の修正も含まれています。詳細については、アドバイザリを参照してください。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

このopensslの更新では、次の問題を修正します：

修正されたセキュリティ問題：

CVE-2018-0734：DSA署名生成におけるタイミングの脆弱性が修正されました（bsc#1113652）。

CVE-2018-5407：楕円曲線のスカラー乗法タイミング攻撃に対する防御が修正されました（bsc#1113534）。

CVE-2018-0737：現在の修正の現在のエラー検出が修正されました（bsc#1106197）。

CVE-2016-8610：現在の修正が調整され、欠落しているエラー文字列を追加します（bsc#1110018）。

DSA署名生成に欠落しているタイミングサイドチャネルパッチを追加します（bsc#1113742）。

RSAでの「One and Done」サイドチャネル攻撃が修正されました（bsc#1104789）。

修正されたセキュリティ以外の問題：openssl(cli)が追加され、opensslバイナリを必要とするパッケージが、新しいopensslメタパッケージの代わりにこれを要求できます（bsc#1101470）。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
189370	Nutanix AOS : 複数の脆弱性 (NXSA-AOS-6.7.1.5)	Nessus	Misc.	2024/1/23	2025/9/1	medium
112108	SUSE SLES11セキュリティ更新プログラム：openssl（SUSE-SU-2018:2486-1）	Nessus	SuSE Local Security Checks	2018/8/24	2025/3/26	medium
118296	SUSE SLES12セキュリティ更新プログラム：openssl（SUSE-SU-2018:2928-2）	Nessus	SuSE Local Security Checks	2018/10/22	2025/3/25	medium
119116	SUSE SLES12セキュリティ更新プログラム：openssl（SUSE-SU-2018:3864-1）	Nessus	SuSE Local Security Checks	2018/11/23	2025/3/24	medium

検出

プラグインの検索

medium

medium

medium

medium