3 つのセキュリティ問題を修正する更新済みの openssl パッケージが、 Red Hat Enterprise Linux 4 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

OpenSSL は、Secure Sockets Layer（SSL v2/v3）および Transport Layer Security （TLS v1）プロトコル、ならびに全強度の汎用暗号化ライブラリを実装するツールキットです。

OpenSSL SSL/TLS サーバーコードに、暗号スイートのダウングレードの欠陥が見つかりました。リモートの攻撃者がこの欠陥を利用して、サーバー上に保存されたキャッシュ済みセッションに関連付けられている暗号スイートを変更し、サーバーが SSL_OP_NETSCAPE_REUSE_CIPHER_CHANGE_BUG オプションを有効にした場合、セッションの再開後に弱い暗号スイートをクライアントに強制的に使用させる可能性があります。（CVE-2010-4180、CVE-2008-7270）

注：この更新を適用すると、SSL_OP_NETSCAPE_REUSE_CIPHER_CHANGE_BUG オプション設定の効果はなくなり、このバグの回避策を有効にすることはできなくなります。

OpenSSL が bn_wexpand() 関数の戻り値を常に確認するわけではないことが判明しました。攻撃者がその関数内でメモリ割り当てエラーを発生させられた場合、OpenSSL ライブラリを使用しているアプリケーションと、その UBSEC ハードウェアエンジンサポートをクラッシュさせる可能性があります。（CVE-2009-3245）

OpenSSL の全ユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を解決する必要があります。更新を有効にするには、 OpenSSL ライブラリにリンクされているすべてのサービスを再起動するか、システムを再起動する必要があります。

リモート HP ProCurve スイッチには、攻撃者がリモートで認証されていない情報漏洩を引き起こす可能性のある問題を修正するソフトウェア更新が欠如しています。

3 つのセキュリティの問題を修正する更新済みの openssl パッケージが、 Red Hat Enterprise Linux 4 で現在利用可能です。

Red Hatセキュリティレスポンスチームは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度の評価を提供するCommon Vulnerability Scoring System（CVSS）のベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに確認できます。

OpenSSL は、Secure Sockets Layer（SSL v2/v3）および Transport Layer Security （TLS v1）プロトコル、ならびに全強度の汎用暗号化ライブラリを実装するツールキットです。

OpenSSL SSL/TLS サーバーコードに、暗号スイートのダウングレードの欠陥が見つかりました。リモートの攻撃者がこの欠陥を利用して、サーバー上に保存されたキャッシュ済みセッションに関連付けられている暗号スイートを変更し、サーバーがSSL_OP_NETSCAPE_REUSE_CIPHER_CHANGE_BUGオプションを有効にした場合、セッションの再開後に弱い暗号スイートをクライアントに強制的に使用させる可能性があります。（CVE-2010-4180、CVE-2008-7270）

注：この更新を適用すると、 SSL_OP_NETSCAPE_REUSE_CIPHER_CHANGE_BUG オプション設定の効果はなくなり、このバグの回避策を有効にすることはできなくなります。

OpenSSL が bn_wexpand() 関数の戻り値を常に確認するわけではないことが判明しました。攻撃者がその関数内でメモリ割り当てエラーを発生させられた場合、OpenSSLライブラリを使用しているアプリケーションと、そのUBSECハードウェアエンジンサポートをクラッシュさせる可能性があります。（CVE-2009-3245）

OpenSSL の全ユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を解決する必要があります。更新を有効にするには、OpenSSLライブラリにリンクされているすべてのサービスを再起動するか、システムを再起動する必要があります。

Red Hat セキュリティアドバイザリ 2010:0977 から：

3 つのセキュリティ問題を修正する更新済みの openssl パッケージが、 Red Hat Enterprise Linux 4 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

OpenSSL は、Secure Sockets Layer（SSL v2/v3）および Transport Layer Security （TLS v1）プロトコル、ならびに全強度の汎用暗号化ライブラリを実装するツールキットです。

OpenSSL SSL/TLS サーバーコードに、暗号スイートのダウングレードの欠陥が見つかりました。リモートの攻撃者がこの欠陥を利用して、サーバー上に保存されたキャッシュ済みセッションに関連付けられている暗号スイートを変更し、サーバーが SSL_OP_NETSCAPE_REUSE_CIPHER_CHANGE_BUG オプションを有効にした場合、セッションの再開後に弱い暗号スイートをクライアントに強制的に使用させる可能性があります。（CVE-2010-4180、 CVE-2008-7270）

注：この更新を適用すると、SSL_OP_NETSCAPE_REUSE_CIPHER_CHANGE_BUG オプション設定の効果はなくなり、このバグの回避策を有効にすることはできなくなります。

OpenSSL が bn_wexpand() 関数の戻り値を常に確認するわけではないことが判明しました。攻撃者がその関数内でメモリ割り当てエラーを発生させられた場合、OpenSSL ライブラリを使用しているアプリケーションと、その UBSEC ハードウェアエンジンサポートをクラッシュさせる可能性があります。(CVE-2009-3245)

OpenSSL の全ユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を解決する必要があります。更新を有効にするには、 OpenSSL ライブラリにリンクされているすべてのサービスを再起動するか、システムを再起動する必要があります。

リモートの VMware ESX / ESXi ホストにセキュリティ関連のパッチがありません。
したがって、いくつかのサードパーティのコンポーネントとライブラリで、リモートコードの実行の脆弱性を含む複数の脆弱性による影響を受けます：

- Java Runtime Environment（JRE）
 - libuser
 - Netscape Portable Runtime（NSPR）
 - Network Security Services（NSS）
 - OpenSSL

SSL/TLS サーバーコードでの古いバグの回避策により、攻撃者は、保存されたセッションキャッシュ暗号スイートを変更できることが判明しました。これにより、攻撃者が、その後の接続の暗号スイートをより弱いものにダウングレードする可能性があります。（CVE-2010-4180）

SSL/TLS サーバーコードでの古いバグの回避策により、攻撃者は、保存されたセッションキャッシュ暗号スイートを変更できることが判明しました。攻撃者がこれを利用して、無効になっている暗号の使用を強制する可能性があります。この脆弱性の影響を受けるのは、Ubuntu 6.06 LTS、Ubuntu 8.04 LTS、および Ubuntu 9.10 のバージョンの OpenSSL のみです。（CVE-2008-7270）。

2 つのセキュリティ問題を解決する更新済みの openssl パッケージが、 Red Hat Enterprise Linux 5.で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

OpenSSL は、Secure Sockets Layer（SSL v2/v3）および Transport Layer Security （TLS v1）プロトコル、ならびに全強度の汎用暗号化ライブラリを実装するツールキットです。

OpenSSL SSL/TLS サーバーコードに、暗号スイートのダウングレードの欠陥が見つかりました。リモートの攻撃者がこの欠陥を利用して、サーバー上に保存されたキャッシュ済みセッションに関連付けられている暗号スイートを変更し、サーバーが SSL_OP_NETSCAPE_REUSE_CIPHER_CHANGE_BUG オプションを有効にした場合、セッションの再開後に弱い暗号スイートをクライアントに強制的に使用させる可能性があります。（CVE-2010-4180、CVE-2008-7270）

注：この更新を適用すると、SSL_OP_NETSCAPE_REUSE_CIPHER_CHANGE_BUG オプション設定の効果はなくなり、このバグの回避策を有効にすることはできなくなります。

OpenSSL の全ユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージにアップグレードし、これらの問題を修正する必要があります。更新を有効にするには、 OpenSSL ライブラリにリンクされているすべてのサービスを再起動するか、システムを再起動する必要があります。

Red Hat セキュリティアドバイザリ 2010:0978 から：

2 つのセキュリティ問題を解決する更新済みの openssl パッケージが、 Red Hat Enterprise Linux 5.で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

OpenSSL は、Secure Sockets Layer（SSL v2/v3）および Transport Layer Security （TLS v1）プロトコル、ならびに全強度の汎用暗号化ライブラリを実装するツールキットです。

OpenSSL SSL/TLS サーバーコードに、暗号スイートのダウングレードの欠陥が見つかりました。リモートの攻撃者がこの欠陥を利用して、サーバー上に保存されたキャッシュ済みセッションに関連付けられている暗号スイートを変更し、サーバーが SSL_OP_NETSCAPE_REUSE_CIPHER_CHANGE_BUG オプションを有効にした場合、セッションの再開後に弱い暗号スイートをクライアントに強制的に使用させる可能性があります。（CVE-2010-4180、 CVE-2008-7270）

注：この更新を適用すると、SSL_OP_NETSCAPE_REUSE_CIPHER_CHANGE_BUG オプション設定の効果はなくなり、このバグの回避策を有効にすることはできなくなります。

OpenSSL の全ユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージにアップグレードし、これらの問題を修正する必要があります。更新を有効にするには、 OpenSSL ライブラリにリンクされているすべてのサービスを再起動するか、システムを再起動する必要があります。

リモートホストにインストールされているバージョンの OpenSSL が、セッションの再開時に、
無効な暗号を使用できることが示されています。つまり、盗聴などによって SSL 接続の開始を知った攻撃者は、OpenSSL セッションキャッシュを操作することにより、セッションをその後再開し、攻撃者が選択した弱い暗号を使用するようにできます。

OpenSSL SSL/TLS サーバーコードに、暗号スイートのダウングレードの欠陥が見つかりました。リモートの攻撃者がこの欠陥を利用して、サーバー上に保存されたキャッシュ済みセッションに関連付けられている暗号スイートを変更し、サーバーが SSL_OP_NETSCAPE_REUSE_CIPHER_CHANGE_BUG オプションを有効にした場合、セッションの再開後に弱い暗号スイートをクライアントに強制的に使用させる可能性があります。（CVE-2010-4180、CVE-2008-7270）

注：この更新を適用すると、SSL_OP_NETSCAPE_REUSE_CIPHER_CHANGE_BUG オプション設定の効果はなくなり、このバグの回避策を有効にすることはできなくなります。

OpenSSL が bn_wexpand() 関数の戻り値を常に確認するわけではないことが判明しました。攻撃者がその関数内でメモリ割り当てエラーを発生させられた場合、OpenSSL ライブラリを使用しているアプリケーションと、その UBSEC ハードウェアエンジンサポートをクラッシュさせる可能性があります。（CVE-2009-3245 - SL4 のみ）

更新を有効にするには、 OpenSSL ライブラリにリンクされているすべてのサービスを再起動するか、システムを再起動する必要があります。

a. Service Console openssl RPMに対するESXサードパーティの更新

   Service Console openssl RPM は、2 つのセキュリティ問題を解決する openssl-0.9.8e.12.el5_5.7 に更新されます。

   Common Vulnerabilities and Exposures プロジェクト（cve.mitre.org）が、この問題に対する名称として CVE-2008-7270 と CVE-2010-4180 を割り当てました。
   b. Service Console libuser RPM に対する、ESX サードパーティの更新。Service Console libuser RPM は、セキュリティの問題を解決するバージョン 0.54.7-2.1.el5_5.2 に更新されます。
     Common Vulnerabilities and Exposures Project（cve.mitre.org）は、この問題に CVE-2011-0002 を割り当てています。
  c. Service Console nssおよびnsprのRPMに対する、ESXサードパーティの更新。Service Console Network Security Services（NSS）およびNetscape Portable Runtime（NSPR）のライブラリは、複数のセキュリティの問題を解決するnspr-4.8.6-1およびnss-3.12.8-4に更新されます。
     Common Vulnerabilities and Exposures プロジェクト（cve.mitre.org）が、この問題に対する名称として CVE-2010-3170 と CVE-2010-3173 を割り当てました。
  d. vCenter Server および ESX、Oracle（Sun）JRE の更新 1.6.0_24

   Oracle（Sun）JRE がバージョン 1.6.0_24 に更新されています。これは Oracle（Sun）JRE の以前のリリースに存在した複数のセキュリティ問題に対処します。
     Common Vulnerabilities and Exposuresプロジェクト（cve.mitre.org）は、JRE 1.6.0_24で修正されたセキュリティ問題に次の名前を割り当てています:CVE-2010-4422、CVE-2010-4447、CVE-2010-4448、CVE-2010-4450、CVE-2010-4451、CVE-2010-4452、CVE-2010-4454、CVE-2010-4462、CVE-2010-4463、CVE-2010-4465、CVE-2010-4466、CVE-2010-4467、CVE-2010-4468、CVE-2010-4469、CVE-2010-4470、CVE-2010-4471、CVE-2010-4472、CVE-2010-4473、CVE-2010-4474、CVE-2010-4475およびCVE-2010-4476。
     Common Vulnerabilities and Exposuresプロジェクト（cve.mitre.org）は、JRE 1.6.0_22で修正されたセキュリティ問題に次の名前を割り当てています:CVE-2010-1321、CVE-2010-3541、CVE-2010-3548、CVE-2010-3549、CVE-2010-3550、CVE-2010-3551、CVE-2010-3552、CVE-2010-3553、CVE-2010-3554、CVE-2010-3555、CVE-2010-3556、CVE-2010-3557、CVE-2010-3558、CVE-2010-3559、CVE-2010-3560、CVE-2010-3561、CVE-2010-3562、CVE-2010-3563、CVE-2010-3565、CVE-2010-3566、CVE-2010-3567、CVE-2010-3568、CVE-2010-3569、CVE-2010-3570、CVE-2010-3571、CVE-2010-3572、CVE-2010-3573およびCVE-2010-3574。
  e. vCenter Update Manager Oracle（Sun）JRE の更新 1.5.0_30

   Oracle（Sun）JRE がバージョン 1.5.0_30 に更新されています。これは Oracle（Sun）JRE の以前のリリースに存在した複数のセキュリティ問題に対処します。

   Common Vulnerabilities and Exposuresプロジェクト（cve.mitre.org）は、Oracle (Sun) JRE 1.5.0_30で修正されたセキュリティ問題に次の名前を割り当てています:CVE-2011-0862、CVE-2011-0873、CVE-2011-0815、CVE-2011-0864、CVE-2011-0802、CVE-2011-0814、CVE-2011-0871、CVE-2011-0867およびCVE-2011-0865。

   Common Vulnerabilities and Exposuresプロジェクト（cve.mitre.org）は、Oracle (Sun) JRE 1.5.0_28で修正されたセキュリティ問題に次の名前を割り当てています:CVE-2010-4447、CVE-2010-4448、CVE-2010-4450、CVE-2010-4454、CVE-2010-4462、CVE-2010-4465、CVE-2010-4466、CVE-2010-4468、CVE-2010-4469、CVE-2010-4473、CVE-2010-4475、CVE-2010-4476。

f. VMwareサードパーティコンポーネントsfcbでの整数オーバーフロー

   サードパーティライブラリ SFCB において、/etc/sfcb/sfcb.cfg で httpMaxContentLength がそのデフォルト値の 0 から変更されている場合に、整数オーバーフローが存在します。このリリースでは、その問題を解決しています。
   整数オーバーフローにより、リモートの攻撃者が、Content-Length HTTP ヘッダーでの大きな整数を介して、サービス拒否（ヒープメモリの破損）を引き起こしたり、任意のコードを実行したりする可能性があります。
     Common Vulnerabilities and Exposures プロジェクト（cve.mitre.org）は、この問題に CVE-2010-2054 の識別名を割り当てています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
51155	RHEL 4：openssl（RHSA-2010:0977）	Nessus	Red Hat Local Security Checks	2010/12/14	2024/4/21	critical
69346	HP ProCurve スイッチの認証されていないリモートの情報漏洩	Nessus	Misc.	2013/8/14	2018/7/12	medium
51781	CentOS 4：openssl（CESA-2010: 0977）	Nessus	CentOS Local Security Checks	2011/1/28	2021/1/4	critical
68163	Oracle Linux 4：openssl（ELSA-2010-0977）	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	critical
89681	VMware ESX/ESXi サードパーティライブラリの複数の脆弱性（VMSA-2011-0013）（remote check）	Nessus	Misc.	2016/3/4	2021/1/6	critical
51076	Ubuntu 6.06 LTS/8.04 LTS/9.10/10.04 LTS/10.10：openssl の脆弱性（USN-1029-1）	Nessus	Ubuntu Local Security Checks	2010/12/8	2019/9/19	medium
51156	RHEL 5：openssl（RHSA-2010:0978）	Nessus	Red Hat Local Security Checks	2010/12/14	2021/1/14	medium
68164	Oracle Linux 5：openssl（ELSA-2010-0978）	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	medium
51893	OpenSSL の SSL_OP_NETSCAPE_REUSE_CIPHER_CHANGE_BUG の暗号パッケージの無効な暗号の問題	Nessus	General	2011/2/7	2022/4/11	medium
51146	CentOS 5：openssl（CESA-2010:0978）	Nessus	CentOS Local Security Checks	2010/12/14	2021/1/4	medium
60921	Scientific Linux のセキュリティ更新：SL4.x、SL5.x i386/x86_64 の openssl	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	critical
56665	VMSA-2011-0013：VMware vCenter Server、vCenter Update Manager、ESXi、および ESX に対する、VMware サードパーティコンポーネントの更新	Nessus	VMware ESX Local Security Checks	2011/10/28	2021/1/6	critical

検出

プラグインの検索

critical

medium

critical

critical

critical

medium

medium

medium

medium

medium

critical

critical