複数のセキュリティ上の問題を修正する更新済みの OpenSSL パッケージが、 Red Hat Enterprise Linux 5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新に重大なセキュリティインパクトがあると評価しています。

OpenSSL は、Secure Sockets Layer（SSL v2/v3）および Transport Layer Security（TLS v1）プロトコル、ならびに全強度の汎用暗号化ライブラリを実装するツールキットです。Datagram TLS （DTLS）は、データグラム転送（たとえば UDP）をセキュアに行うことができる TLS に基づいたプロトコルです。

OpenSSL セキュリティチームは DTLS サポートの欠陥を発見しました。攻撃者は、ヒープオーバーフローを発生させられる悪意のあるクライアントまたはサーバーを作成することができます。場合によっては、これを悪用して任意のコードを実行できますが、検証はまだされていません（CVE-2007-4995）。注意：この欠陥は DTLS を使用しているアプリケーションにのみ影響を与えます。Red Hat では、 Red Hat Enterprise Linux の DTLS クライアント/サーバーアプリケーションは提供しておりません。

SSL_get_shared_ciphers() ユーティリティ関数に欠陥が見つかりました。攻撃者が、この関数を使用したアプリケーションに暗号リストを送信し、単一バイトでバッファをオーバーランする可能性があります（CVE-2007-5135）。この脆弱な関数を使用しているアプリケーションはほとんどなく、一般にこの関数はデバッグのためにアプリケーションをコンパイルする時にのみ使用されます。

多くのサイドチャネル攻撃の可能性が OpenSSL に影響を及ぼしていることを発見しました。ローカルの攻撃者は場合によって、システムで使用されている RSA 秘密鍵を取得することができます。実際には、ラボ環境以外でこうした攻撃を実行するのは困難です。この更新には、これらの問題を緩和するバックポートされたパッチが含まれています。（CVE-2007-3108）。

OpenSSL のユーザーは、これらの問題を解決するバックポートされたパッチを含む、更新済みのこれらのパッケージにアップグレードする必要があります。

DTLS 欠陥の修正には、新しいクライアントを古いサーバーと一緒に使用した場合に非互換性を引き起こす DTLS ハンドシェイク処理のオーバーホールが関係していますので、注意してください。

この更新をインストールした後で、ユーザーは OpenSSL を使用するすべてのサービスを再起動するか、システムを再起動することが推奨されます。

Red Hat セキュリティアドバイザリ 2007:0964 から：

複数のセキュリティ上の問題を修正する更新済みの OpenSSL パッケージが、 Red Hat Enterprise Linux 5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新に重大なセキュリティインパクトがあると評価しています。

OpenSSL は、Secure Sockets Layer（SSL v2/v3）および Transport Layer Security（TLS v1）プロトコル、ならびに全強度の汎用暗号化ライブラリを実装するツールキットです。Datagram TLS （DTLS）は、データグラム転送（たとえば UDP）をセキュアに行うことができる TLS に基づいたプロトコルです。

OpenSSL セキュリティチームは DTLS サポートの欠陥を発見しました。攻撃者は、ヒープオーバーフローを発生させられる悪意のあるクライアントまたはサーバーを作成することができます。場合によっては、これを悪用して任意のコードを実行できますが、検証はまだされていません（CVE-2007-4995）。注意：この欠陥は DTLS を使用しているアプリケーションにのみ影響を与えます。Red Hat では、 Red Hat Enterprise Linux の DTLS クライアント/サーバーアプリケーションは提供しておりません。

SSL_get_shared_ciphers() ユーティリティ関数に欠陥が見つかりました。攻撃者が、この関数を使用したアプリケーションに暗号リストを送信し、単一バイトでバッファをオーバーランする可能性があります（CVE-2007-5135）。この脆弱な関数を使用しているアプリケーションはほとんどなく、一般にこの関数はデバッグのためにアプリケーションをコンパイルする時にのみ使用されます。

多くのサイドチャネル攻撃の可能性が OpenSSL に影響を及ぼしていることを発見しました。ローカルの攻撃者は場合によって、システムで使用されている RSA 秘密鍵を取得することができます。実際には、ラボ環境以外でこうした攻撃を実行するのは困難です。この更新には、これらの問題を緩和するバックポートされたパッチが含まれています。（CVE-2007-3108）。

OpenSSL のユーザーは、これらの問題を解決するバックポートされたパッチを含む、更新済みのこれらのパッケージにアップグレードする必要があります。

DTLS 欠陥の修正には、新しいクライアントを古いサーバーと一緒に使用した場合に非互換性を引き起こす DTLS ハンドシェイク処理のオーバーホールが関係していますので、注意してください。

この更新をインストールした後で、ユーザーは OpenSSL を使用するすべてのサービスを再起動するか、システムを再起動することが推奨されます。

リモートホストが GLSA-201412-11 で説明されている脆弱性の影響を受けます（AMD64 x86 エミュレーションベースライブラリ：複数の脆弱性）

AMD64 x86 エミュレーションベースライブラリに複数の脆弱性が発見されました。詳細については、以下で参照されている CVE 識別子をレビューしてください。
 影響：

コンテキスト依存の攻撃者が、任意のコードの実行やサービス拒否状態を引き起こしたり、機密情報を取得したりする可能性があります。
 回避策：

現時点で、既知の回避策はありません。

Red Hat セキュリティアドバイザリ 2007:0813 から：

セキュリティ問題を修正する更新済みの OpenSSL パッケージが、Red Hat Enterprise Linux 2.1 および 3 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新は重要度中のセキュリティ影響があると評価しています。

OpenSSL は、Secure Sockets Layer（SSL v2/v3）および Transport Layer Security（TLS v1）プロトコル、ならびに全強度の汎用暗号化ライブラリを実装するツールキットです。

SSL_get_shared_ciphers() ユーティリティ関数に欠陥が見つかりました。攻撃者が、この関数を使用したアプリケーションに暗号リストを送信し、単一バイトでバッファをオーバーランする可能性があります（CVE-2007-5135）。この脆弱な関数を使用しているアプリケーションはほとんどなく、一般にこの関数はデバッグのためにアプリケーションをコンパイルする時にのみ使用されます。

多くのサイドチャネル攻撃の可能性が OpenSSL に影響を及ぼしていることを発見しました。ローカルの攻撃者は場合によって、システムで使用されている RSA 秘密鍵を取得することができます。実際には、ラボ環境以外でこうした攻撃を実行するのは困難です。この更新には、これらの問題を緩和するバックポートされたパッチが含まれています。（CVE-2007-3108）。

OpenSSL のユーザーは、これらの問題を解決するバックポートされたパッチを含む、更新済みのこれらのパッケージにアップグレードする必要があります。

注：この更新をインストールした後、ユーザーは OpenSSL を使用するすべてのサービスを再起動するか、システムを再起動することをお勧めします。

リモートホスト上にインストールされている Attachmate Reflection for Secure IT UNIXサーバーのバージョンは、7.0 SP1以前であるため、いくつかの問題の影響を受けることが報告されています。

  - 無効な形式のASN.1構造を解析する際にOpenSSLに継承された脆弱性があり、サービス拒否の脆弱性が引き起こされます（CVE-2006-2937）。

  - 寄生的な公開鍵を解析する際にOpenSSLに継承された脆弱性があり、サービス拒否の脆弱性が引き起こされます（CVE-2006-2940）。

  - モンゴメリ乗算を実行する際にOpenSSLに継承された脆弱性があり、サイドチャネル攻撃の脆弱性が引き起こされます（CVE-2007-3108）。

  - ~/.ssh2/rcセッションファイルの実行による、OpenSSHに継承された脆弱性があります（CVE-2008-1657）。

  - 転送されたX11接続のセキュリティに問題があるため、ハイジャックが発生する可能性があります。
    （CVE-2008-1483）

  - 複数の特定されていないその他の脆弱性があります。
    （CVE-2008-6021）

F5 製品開発は、BIG-IP および Enterprise Manager 製品が脆弱なバージョンの OpenSSL を使用していると判断しました。ただし、脆弱なコードは TMM または BIG-IP システムの Apache では使用されていません。この脆弱性はローカルな脆弱性であると考えられており、リモートで悪用することはできません。

SSL_get_shared_ciphers() ユーティリティ関数に欠陥が見つかりました。攻撃者が、この関数を使用しているアプリケーションに暗号のリストを送信し、バッファを 1 バイトだけオーバーランさせる可能性があります（CVE-2007-5135）。この脆弱な関数を使用しているアプリケーションはほとんどなく、一般にこの関数はデバッグのためにアプリケーションをコンパイルする時にのみ使用されます。

多くのサイドチャネル攻撃の可能性が OpenSSL に影響を及ぼしていることを発見しました。ローカルの攻撃者は場合によって、システムで使用されている RSA 秘密鍵を取得することができます。実際には、ラボ環境以外でこうした攻撃を実行するのは困難です。この更新には、これらの問題を緩和するためのバックポートされたパッチが含まれています。（CVE-2007-3108）

これらの更新済みパッケージでは、次のバグも修正しています。

- マルチスレッドアプリケーションは、同時に多数のスレッドに対して OpenSSL ライブラリの乱数発生器初期化（RAND_poll）を呼び出すと、セグメンテーション違反またはデッドロックを引き起こす可能性があります。

- 特定の状況下では、OpenSSL ライブラリを使用するアプリケーションが多目的 SSL セッションキャッシュを（SSL プロトコルの様々なパラメーターで）再使用した場合、セッションパラメーターが一致しない可能性があります。

- [pkcs12-file] が pkcs12 ファイルである場合、破損した pkcs12 ファイルが「openssl pkcs12 -in [pkcs12-file]」コマンドを使用してロードされると、セグメンテーション違反が起こる可能性があります。

OpenSSL は、Secure Sockets Layer（SSL v2/v3）および Transport Layer Security（TLS v1）プロトコル、ならびに全強度の汎用暗号化ライブラリを実装するツールキットです。Datagram TLS （DTLS）は、データグラム転送（たとえば UDP）をセキュアに行うことができる TLS に基づいたプロトコルです。

OpenSSL セキュリティチームは DTLS サポートの欠陥を発見しました。攻撃者は、ヒープオーバーフローを発生させられる悪意のあるクライアントまたはサーバーを作成することができます。場合によっては、これを悪用して任意のコードを実行できますが、検証はまだされていません（CVE-2007-5135）。注意：この欠陥は DTLS を使用しているアプリケーションにのみ影響を与えます。Scientific Linux では、DTLS クライアントまたはサーバーアプリケーションを出荷しません。

SSL_get_shared_ciphers() ユーティリティ関数に欠陥が見つかりました。攻撃者が、この関数を使用したアプリケーションに暗号リストを送信し、単一バイトでバッファをオーバーランする可能性があります（CVE-2007-4995）。この脆弱な関数を使用しているアプリケーションはほとんどなく、一般にこの関数はデバッグのためにアプリケーションをコンパイルする時にのみ使用されます。

多くのサイドチャネル攻撃の可能性が OpenSSL に影響を及ぼしていることを発見しました。ローカルの攻撃者は場合によって、システムで使用されている RSA 秘密鍵を取得することができます。実際には、ラボ環境以外でこうした攻撃を実行するのは困難です。この更新には、これらの問題を緩和するバックポートされたパッチが含まれています。（CVE-2007-3108）。

OpenSSL のユーザーは、これらの問題を解決するバックポートされたパッチを含む、更新済みのこれらのパッケージにアップグレードする必要があります。

DTLS 欠陥の修正には、新しいクライアントを古いサーバーと一緒に使用した場合に非互換性を引き起こす DTLS ハンドシェイク処理のオーバーホールが関係していますので、注意してください。

この更新をインストールした後で、ユーザーは OpenSSL を使用するすべてのサービスを再起動するか、システムを再起動することが推奨されます。

SSL_get_shared_ciphers() ユーティリティ関数に欠陥が見つかりました。攻撃者が、この関数を使用したアプリケーションに暗号リストを送信し、単一バイトでバッファをオーバーランする可能性があります（CVE-2007-5135）。この脆弱な関数を使用しているアプリケーションはほとんどなく、一般にこの関数はデバッグのためにアプリケーションをコンパイルする時にのみ使用されます。

多くのサイドチャネル攻撃の可能性が OpenSSL に影響を及ぼしていることを発見しました。ローカルの攻撃者は場合によって、システムで使用されている RSA 秘密鍵を取得することができます。実際には、ラボ環境以外でこうした攻撃を実行するのは困難です。この更新には、これらの問題を緩和するバックポートされたパッチが含まれています。（CVE-2007-3108）。

注：この更新をインストールした後、ユーザーは OpenSSL を使用するすべてのサービスを再起動するか、システムを再起動することをお勧めします。

セキュリティの問題とさまざまなバグを修正する更新済みの OpenSSL パッケージが、Red Hat Enterprise Linux 4 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新は重要度中のセキュリティ影響があると評価しています。

OpenSSL は、Secure Sockets Layer（SSL v2/v3）および Transport Layer Security（TLS v1）プロトコルを実装するツールキットであり、全強度の汎用暗号化ライブラリです。

SSL_get_shared_ciphers() ユーティリティ関数に欠陥が見つかりました。攻撃者が、この関数を使用しているアプリケーションに暗号のリストを送信し、バッファを 1 バイトだけオーバーランさせる可能性があります（CVE-2007-5135）。この脆弱な関数を使用しているアプリケーションはほとんどなく、一般にこの関数はデバッグのためにアプリケーションをコンパイルする時にのみ使用されます。

多くのサイドチャネル攻撃の可能性が OpenSSL に影響を及ぼしていることを発見しました。ローカルの攻撃者は場合によって、システムで使用されている RSA 秘密鍵を取得することができます。実際には、ラボ環境以外でこうした攻撃を実行するのは困難です。この更新には、これらの問題を緩和するためのバックポートされたパッチが含まれています。(CVE-2007-3108)

これらの更新済みパッケージでは、次のバグも修正しています。

* マルチスレッドのアプリケーションは、同時に多数のスレッドについて OpenSSL ライブラリの乱数発生器初期化（RAND_poll）呼び出しを行うと、セグメンテーション違反あるいはデッドロックを引き起こす可能性があります。

* 特定の状況下では、OpenSSL ライブラリを使用するアプリケーションが多目的 SSL セッションキャッシュを（SSL プロトコルの様々なパラメーターで）再使用した場合、セッションパラメーターが一致しない可能性があります。

* [pkcs12-file] が pkcs12 ファイルである場合、破損した pkcs12 ファイルが　「openssl pkcs12 -in [pkcs12-file]」コマンドを使用してロードされると、セグメンテーション違反が発生する可能性があります。

OpenSSL のユーザーは、これらの問題を解決するバックポートされたパッチを含む、更新済みのこれらのパッケージにアップグレードする必要があります。

注：この更新をインストールした後、ユーザーは OpenSSL を使用するすべてのサービスを再起動するか、システムを再起動することをお勧めします。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
43658	CentOS 5：openssl（CESA-2007:0964）	Nessus	CentOS Local Security Checks	2010/1/6	2021/1/4	high
67585	Oracle Linux 5：openssl（ELSA-2007-0964）	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	high
79964	GLSA-201412-11：AMD64 x86 エミュレーションベースライブラリ：複数の脆弱性（Heartbleed）	Nessus	Gentoo Local Security Checks	2014/12/15	2022/5/5	critical
67559	Oracle Linux 3：openssl（ELSA-2007-0813）	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	medium
33948	Attachmate Reflection for Secure IT UNIX Server < 7.0 SP1の複数の脆弱性	Nessus	Misc.	2008/8/20	2020/12/22	critical
78217	F5 Networks BIG-IP：OpenSSL 脆弱性（SOL8108）	Nessus	F5 Networks Local Security Checks	2014/10/10	2021/1/11	low
60307	Scientific Linux セキュリティ更新：SL4.x i386/x86_64 の openssl	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	medium
60267	Scientific Linux セキュリティ更新：SL5.x i386/x86_64 の openssl	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	high
60273	Scientific Linux セキュリティ更新：SL3.x i386/x86_64 の openssl	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	medium
67058	CentOS 4：openssl（CESA-2007:1003）	Nessus	CentOS Local Security Checks	2013/6/29	2021/1/4	medium

検出

プラグインの検索

high

high

critical

medium

critical

low

medium

high

medium

medium