リモートホストにインストールされている OpenSSL のバージョンは、1.1.0i より前です。したがって、1.1.0i のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - プロセッサーの同時マルチスレッド (SMT) により、ローカルユーザーが「ポート競合」のサイドチャネルタイミング攻撃を介して、タイミング攻撃に対して脆弱なソフトウェアを悪用する可能性があります。(CVE-2018-5407)

  - DH(E) ベースの暗号スイートを使用する TLS ハンドシェイクにおける鍵合意の間に、悪意のあるサーバーが非常に大きな素数値をクライアントに送信する可能性があります。これによってクライアントはこの素数のための鍵を生成することに不要に長い時間を費やし、それが終了するまでハング状態になります。これは、DoS 攻撃 (サービス拒否攻撃) の手段として悪用される可能性があります。OpenSSL 1.1.0i-dev で修正されました (1.1.0-1.1.0h が影響を受けます)。OpenSSL 1.0.2p-dev で修正されました (1.0.2-1.0.2o が影響を受けます)。(CVE-2018-0732)

  - OpenSSL RSA キー生成アルゴリズムは、chache タイミングサイドチャネル攻撃に対して脆弱であることが分かっています。RSA 鍵生成プロセス中にキャッシュタイミング攻撃をマウントできるアクセス権を持つ攻撃者が、秘密鍵を復元する可能性があります。OpenSSL 1.1.0i-dev で修正されました (1.1.0-1.1.0h が影響を受けます)。OpenSSL 1.0.2p-dev で修正されました (1.0.2b-1.0.2o が影響を受けます)。(CVE-2018-0737)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Red Hat JBoss CoreサービスパックApache Server 2.4.37を提供し、いくつかのバグを修正し、さまざまな拡張機能を追加した更新済みのパッケージが、Red Hat Enterprise Linux 6で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重大度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。このリリースでは、JBoss Core Services製品の一部である新しいApache HTTP Server 2.4.37パッケージが追加されました。このリリースは、Red Hat JBoss Core Services Pack Apache Server 2.4.29を置き換え、バグ修正プログラムおよび拡張機能を提供します。このリリースに含まれる最も重要なバグ修正プログラムおよび拡張機能については、リリースノートを参照してください。セキュリティ修正プログラム：* openssl：crypto/rsa/rsa_gen.cのRSAキー生成キャッシュタイミングの脆弱性により、攻撃者は秘密鍵を復元できます（CVE-2018-0737）* openssl：DSA署名アルゴリズムのタイミングサイドチャネル攻撃（CVE-2018-0734）* mod_auth_digest：競合状態によるアクセス制御のバイパス（CVE-2019-0217） * openssl：SMT/Hyper-Threadingアーキテクチャのサイドチャネル攻撃の脆弱性（PortSmash）（CVE-2018-5407）* mod_session_cookieが有効期限を考慮しない （CVE-2018-17199）* mod_http2：DoS via 遅延された不要なリクエスト本体を通じたDoS（CVE-2018-17189）* mod_http2：最新版へのアップグレードでクラッシュする可能性（CVE-2019-0197）* mod_http2：文字列比較でのメモリ解放後読み取り（CVE-2019-0196）* nghttp2：HTTP/2：大量のデータリクエストがサービス拒否を引き起こす可能性（CVE-2019-9511）* nghttp2：HTTP/2：PRIORITYフレームを使用したフラッディングによる、リソースの過剰消費（CVE-2019-9513）* mod_http2：HTTP/2：長さ0のヘッダーがサービス拒否を引き起こす（CVE-2019-9516）* mod_http2：HTTP/2：大きな応答を要求するとサービス拒否を引き起こす（CVE-2019-9517）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

更新プログラムが、RHEL 7のJBoss Core Servicesで利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重大度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。このリリースでは、JBoss Core Services製品の一部である新しいApache HTTP Server 2.4.37パッケージが追加されました。このリリースは、Red Hat JBoss Core Services Pack Apache Server 2.4.29を置き換え、バグ修正プログラムおよび拡張機能を提供します。このリリースに含まれる最も重要なバグ修正プログラムおよび拡張機能については、リリースノートを参照してください。セキュリティ修正プログラム：* openssl：crypto/rsa/rsa_gen.cのRSAキー生成キャッシュタイミングの脆弱性により、攻撃者は秘密鍵を復元できます（CVE-2018-0737）* openssl：DSA署名アルゴリズムのタイミングサイドチャネル攻撃（CVE-2018-0734）* mod_auth_digest：競合状態によるアクセス制御のバイパス（CVE-2019-0217） * openssl：SMT/Hyper-Threadingアーキテクチャのサイドチャネル攻撃の脆弱性（PortSmash）（CVE-2018-5407）* mod_session_cookieが有効期限を考慮しない （CVE-2018-17199）* mod_http2：DoS via 遅延された不要なリクエスト本体を通じたDoS（CVE-2018-17189）* mod_http2：最新版へのアップグレードでクラッシュする可能性（CVE-2019-0197）* mod_http2：文字列比較でのメモリ解放後読み取り（CVE-2019-0196）* nghttp2：HTTP/2：大量のデータリクエストがサービス拒否を引き起こす可能性（CVE-2019-9511）* nghttp2：HTTP/2：PRIORITYフレームを使用したフラッディングによる、リソースの過剰消費（CVE-2019-9513）* mod_http2：HTTP/2：長さ0のヘッダーがサービス拒否を引き起こす（CVE-2019-9516）* mod_http2：HTTP/2：大きな応答を要求するとサービス拒否を引き起こす（CVE-2019-9517）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

更新されたRed Hat JBoss Web Server 5.2.0パッケージが、Red Hat Enterprise Linux 6、Red Hat Enterprise Linux 7、Red Hat Enterprise Linux 8で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重大度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Red Hat JBoss Web Serverは、Java Webアプリケーションをホスティングするための完全に統合され認定されたコンポーネントのセットです。Apache Tomcat Servletコンテナ、JBoss HTTP Connector（mod_cluster）、Apache TomcatのPicketLink Vault拡張機能、Tomcat Nativeライブラリで構成されています。Red Hat JBoss Web Server 5.2のこのリリースは Red Hat JBoss Web Server 5.1に置き換わるもので、バグ修正、機能強化、コンポーネントのアップグレードが含まれています。バグ修正や機能強化の内容は、「参照」でリンクされているリリースノートに記載されています。セキュリティ修正プログラム：openssl：SMT/Hyper-Threadingアーキテクチャのサイドチャネル攻撃の脆弱性（PortSmash）（CVE-2018-5407）* openssl：0バイトレコードパディングオラクル（CVE-2019-1559）* tomcat：書き込み時のHTTP/2接続ウィンドウの枯渇、CVE-2019-0199の不完全な修正（CVE-2019-10072）* tomcat：SSI printenvのXSS（CVE-2019-0221）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
112120	OpenSSL 1.1.0 < 1.1.0iの複数の脆弱性	Nessus	Web Servers	2018/8/27	2025/3/26	medium
131215	RHEL 6：JBoss Core Services（RHSA-2019:3932）（0-Length Headers Leak）（Data Dribble）（Internal Data Buffering）（Resource Loop）	Nessus	Red Hat Local Security Checks	2019/11/22	2024/11/7	high
131216	RHEL 7：JBoss Core Services（RHSA-2019:3933）（0-Length Headers Leak）（Data Dribble）（Internal Data Buffering）（Resource Loop）	Nessus	Red Hat Local Security Checks	2019/11/22	2024/11/7	high
131214	RHEL 6/7/8：JBoss Web Server（RHSA-2019:3929）	Nessus	Red Hat Local Security Checks	2019/11/22	2025/2/21	high

検出

プラグインの検索

medium

high

high

high