This update for mbedtls fixes the following issues :

Security issues fixed :

  - CVE-2018-9988: Fixed buffer over-read in     ssl_parse_server_key_exchange() that could cause a crash     on invalid input (boo#1089022).

  - CVE-2018-9989: Fixed buffer over-read in     ssl_parse_server_psk_hint() that could cause a crash on     invalid input (boo#1089021).

このmbedtlsの更新では、次の問題が修正されます：

修正されたセキュリティ問題：

  - CVE-2018-9988：無効な入力でクラッシュを引き起こす可能性のある、ssl_parse_server_key_exchange()のバッファオーバーリードを修正しました（boo#1089022）。

  - CVE-2018-9989：無効な入力でクラッシュを引き起こす可能性のある、ssl_parse_server_psk_hint()のバッファオーバーリードを修正しました（boo#1089021）。

Two vulnerabilities were discovered in polarssl, a lightweight crypto and SSL/TLS library (nowadays continued under the name mbedtls) which could result in plain text recovery via side-channel attacks.

Two other minor vulnerabilities were discovered in polarssl which could result in arithmetic overflow errors.

CVE-2018-0497

As a protection against the Lucky Thirteen attack, the TLS code for CBC decryption in encrypt-then-MAC mode performs extra MAC calculations to compensate for variations in message size due to padding. The amount of extra MAC calculation to perform was based on the assumption that the bulk of the time is spent in processing 64-byte blocks, which is correct for most supported hashes but not for SHA-384. Correct the amount of extra work for SHA-384 (and SHA-512 which is currently not used in TLS, and MD2 although no one should care about that).

This is a regression fix for what CVE-2013-0169 had been fixed this.

CVE-2018-0498

The basis for the Lucky 13 family of attacks is for an attacker to be able to distinguish between (long) valid TLS-CBC padding and invalid TLS-CBC padding. Since our code sets padlen = 0 for invalid padding, the length of the input to the HMAC function gives information about that.

Information about this length (modulo the MD/SHA block size) can be deduced from how much MD/SHA padding (this is distinct from TLS-CBC padding) is used. If MD/SHA padding is read from a (static) buffer, a local attacker could get information about how much is used via a cache attack targeting that buffer.

Let's get rid of this buffer. Now the only buffer used is the internal MD/SHA one, which is always read fully by the process() function.

CVE-2018-9988

Prevent arithmetic overflow on bounds check and add bound check before signature length read in ssl_parse_server_key_exchange().

CVE-2018-9989

Prevent arithmetic overflow on bounds check and add bound check before length read in ssl_parse_server_psk_hint()

For Debian 8 'Jessie', these problems have been fixed in version 1.3.9-2.1+deb8u4.

We recommend that you upgrade your polarssl packages.

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

The remote Debian 9 host has packages installed that are affected by multiple vulnerabilities as referenced in the dla-2826 advisory.

  - ARM mbed TLS before 2.1.11, before 2.7.2, and before 2.8.0 has a buffer over-read in     ssl_parse_server_key_exchange() that could cause a crash on invalid input. (CVE-2018-9988)

  - ARM mbed TLS before 2.1.11, before 2.7.2, and before 2.8.0 has a buffer over-read in     ssl_parse_server_psk_hint() that could cause a crash on invalid input. (CVE-2018-9989)

  - An issue was discovered in Mbed TLS before 2.25.0 (and before 2.16.9 LTS and before 2.7.18 LTS). The     calculations performed by mbedtls_mpi_exp_mod are not limited; thus, supplying overly large parameters     could lead to denial of service when generating Diffie-Hellman key pairs. (CVE-2020-36475)

  - An issue was discovered in Mbed TLS before 2.24.0 (and before 2.16.8 LTS and before 2.7.17 LTS). There is     missing zeroization of plaintext buffers in mbedtls_ssl_read to erase unused application data from memory.
    (CVE-2020-36476)

  - An issue was discovered in Mbed TLS before 2.25.0 (and before 2.16.9 LTS and before 2.7.18 LTS). A NULL     algorithm parameters entry looks identical to an array of REAL (size zero) and thus the certificate is     considered valid. However, if the parameters do not match in any way, then the certificate should be     considered invalid. (CVE-2020-36478)

  - In Trusted Firmware Mbed TLS 2.24.0, a side-channel vulnerability in base64 PEM file decoding allows     system-level (administrator) attackers to obtain information about secret RSA keys via a controlled-     channel and side-channel attack on software running in isolated environments that can be single stepped,     especially Intel SGX. (CVE-2021-24119)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

軽量暗号およびSSL/TLSライブラリであるPolarSSL（現在の名前はMbed TLS）に2つの脆弱性が発見されました。これにより、サイドチャネル攻撃によるプレーンテキストの復元が行われる可能性があります。

PolarSSLで、算術オーバーフローエラーを引き起こす可能性がある、その他のマイナーな2つの脆弱性が発見されました。

CVE-2018-0497

Lucky Thirteen攻撃に対する保護として、encrypt-then-MACモードのCBC復号化のTLSコードは、パディングによるメッセージサイズの変動を補正するために、追加のMAC計算を実行します。実行する追加のMAC計算の量は、大半の時間が64バイトブロックの処理に費やされるという仮定に基づいていました。これは、SHA-384以外のほとんどのサポートされているハッシュでは正しく計算されます。SHA-384（およびSHA-512（TLSやMD2では現在使用されなくなったため特に気に掛ける必要はありません））の追加の作業量を修正します。

これは、CVE-2013-0169の修正で発生したリグレッションに対する修正です。

CVE-2018-0498

一連のLucky 13攻撃では、攻撃者が（長い）有効なTLS-CBCパディングと無効なTLS-CBCパディングを区別できることに基本的な問題があります。コードでは無効なパディングに対してpadlen = 0が設定されているため、HMAC関数への入力の長さから、それに関する情報が得られます。

この長さに関する情報（MD/SHAブロックサイズを法とする）は、MD/SHAパディング（TLS-CBCパディングとは別です）がどの程度使用されているかという情報から推測できます。MD/SHAパディングが（静的）バッファから読み取られる場合、ローカルの攻撃者が、そのバッファを標的とするキャッシュ攻撃で、使用量に関する情報を入手する可能性があります。

このバッファを取り除いてください。現在、使用されるバッファは内部のMD/SHAバッファのみであり、これは常にprocess()関数によって完全に読み取られます。

CVE-2018-9988

境界チェックの算術オーバーフローを防止し、ssl_parse_server_key_exchange()での署名の長さ読み取りの前に境界チェックを追加します。

CVE-2018-9989

境界チェックの算術オーバーフローを防止し、ssl_parse_server_psk_hint()での署名の長さ読み取りの前に境界チェックを追加します。

Debian 8「Jessie」では、これらの問題はバージョン1.3.9-2.1+deb8u4で修正されました。

polarsslパッケージをアップグレードすることをお勧めします。

注: Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリーから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

リモートの Debian 9 ホストには、dla-2826 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 2.1.11 より前、2.7.2 より前、および 2.8.0 より前の ARM mbed TLS には、ssl_parse_server_key_exchange() にバッファオーバーリードがあり、無効な入力があるとクラッシュする可能性があります。(CVE-2018-9988)

  - 2.1.11 より前、2.7.2 より前、および 2.8.0 より前の ARM mbed TLS には、ssl_parse_server_psk_hint() にバッファオーバーリードがあり、無効な入力があるとクラッシュする可能性があります。(CVE-2018-9989)

  - 2.25.0 より前 (および 2.16.9 LTS より前と 2.7.18 LTS より前) の Mbed TLS に問題が発見されました。mbedtls_mpi_exp_mod によって実行される計算は制限されていません。したがって、過剰に大きなパラメーターを指定すると、Diffie-Hellman キーペアを生成する際にサービス拒否が発生する可能性があります。(CVE-2020-36475)

  - 2.24.0 より前 (および 2.16.8 LTS より前と 2.7.17 LTS より前) の Mbed TLS に問題が発見されました。未使用のアプリケーションデータをメモリから消去するための mbedtls_ssl_read の平文バッファのゼロ化が欠如しています。
    (CVE-2020-36476)

  - 2.25.0 より前 (および 2.16.9 LTS より前と 2.7.18 LTS より前) の Mbed TLS に問題が発見されました。NULL アルゴリズムパラメーターエントリは REAL(サイズゼロ) の配列と同一に見えるため、証明書は有効と見なされます。ただし、パラメーターがまったく一致しない場合、証明書は無効と見なされます。(CVE-2020-36478)

  - Trusted Firmware Mbed TLS 2.24.0 で、base64 PEM ファイルデコードのサイドチャネル脆弱性により、システムレベル (管理者) の攻撃者が、隔離された環境で実行されているソフトウェアの制御チャネル攻撃およびサイドチャネル攻撃を介して、秘密 RSA キーに関する情報を取得する可能性があります。これは、特に Intel SGX のシングルステップになる可能性があります。(CVE-2021-24119)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ頼っていることに注意してください。

在 polarssl (一種輕量型密碼編譯和 SSL/TLS 程式庫，現以 mbedtls 名稱繼續作用) 中發現兩個弱點，可透過旁路攻擊導致純文字復原。在 polarssl 中發現兩個其他次要弱點，可導致算數溢位錯誤。CVE-2018-0497 為了抵禦 Lucky Thirteen 攻擊，在 encrypt-then-MAC 模式下用於 CBC 解密的 TLS 程式碼會執行額外的 MAC 計算，以補償因填補而導致的訊息大小變化。執行的額外 MAC 計算量會根據大部分時間都花在處理 64 位元組區塊的這個假設，但這對於大多數支援的雜湊值是正確的，對於 SHA-384 則是不正確的。更正 SHA-384 的額外工作量 (以及目前未在 TLS 中使用的 SHA-512，和沒人會在意的 MD2)。這個迴歸修正是針對 CVE-2013-0169 的修正。CVE-2018-0498 Lucky 13 系列攻擊的基本概念是讓攻擊者能辨別 (長) 有效 TLS-CBC 填補和無效 TLS-CBC 填補。因為我們的程式碼會在無效填補設定 padlen = 0，所以 HMAC 函式的輸入長度即可提供此資訊。可以從使用了多少 MD/SHA 填補 (與 TLS-CBC 填補不同) 推斷出有關此長度的資訊 (MD/SHA 區段大小的模數運算)。如果從 (靜態) 緩衝區讀取 MD/SHA 填補，則本機攻擊者可以透過鎖定該緩衝區的快取攻擊來取得使用量的資訊。讓我們捨棄這個緩衝區。現在，唯一使用的緩衝區是內部 MD/SHA 緩衝區，其始終由 process() 函式完全讀取。CVE-2018-9988 在邊界檢查上防止算數溢位，並在 ssl_parse_server_key_exchange() 中進行簽名長度讀取前新增邊界檢查。CVE-2018-9989 在邊界檢查上防止算數溢位，並在 ssl_parse_server_psk_hint() 中進行簽名長度讀取前新增邊界檢查。針對 Debian 8「Jessie」，這些問題已在 1.3.9-2.1+deb8u4 版本中修正。建議您升級 polarssl 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

遠端 Debian 9 主機上安裝的多個套件受到 dla-2826 公告中提及的多個弱點影響。

  - 在 ARM mbed TLS 2.1.11 之前版本、2.7.2 之前版本和 2.8.0 之前版本中，ssl_parse_server_key_exchange() 中存在緩衝區過度讀取弱點，可導致程式因無效輸入而發生損毀。(CVE-2018-9988)

  - 在 ARM mbed TLS 2.1.11 之前版本、2.7.2 之前版本和 2.8.0 之前版本中，ssl_parse_server_psk_hint() 中存在緩衝區過度讀取弱點，可導致程式因無效輸入而發生損毀。(CVE-2018-9989)

  - 在 Mbed LTS 2.25.0 之前版本 (以及 2.16.9 之前的 LTS 和 2.7.18 之前的 LTS)  中發現一個問題。mbedtls_mpi_exp_mod 執行的計算不受限制，因此在產生 Diffie-Hellman 金鑰組時，提供過大的參數可導致程式拒絕服務。(CVE-2020-36475)

  - 在 Mbed LTS 2.24.0 之前版本 (以及 2.16.8 之前的 LTS 和 2.7.17 之前的 LTS)  中發現一個問題。mbedtls_ssl_read 中缺少純文字緩衝區歸零操作，無法清除記憶體中未使用的應用程式資料。
    (CVE-2020-36476)

  - 在 Mbed LTS 2.25.0 之前版本 (以及 2.16.9 之前的 LTS 和 2.7.18 之前的 LTS)  中發現一個問題。NULL 演算法參數項目看起來與 REAL (大小爲零) 陣列相同，因此該憑證被視為有效。但是，如果參數在任何情況下都不相符，則應將憑證視為無效。(CVE-2020-36478)

  - 在 Trusted Firmware Mbed TLS 2.24.0 中，base64 PEM 檔案解碼中存在旁路弱點，系統級 (系統管理員) 攻擊者可以透過對在可單步執行的隔離環境 (尤其是 Intel SGX) 中執行的軟體發動受控通道和旁路攻擊，來取得有關私密 RSA 金鑰的資訊。(CVE-2021-24119)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

轻量级的加密和 SSL/TLS 库 polarssl（如今以 mbedtls 的名称继续使用）中发现两个漏洞，通过边信道攻击，可能会造成明文恢复。polarssl 中还发现了两个次要漏洞，可能会造成算术溢出错误。CVE-2018-0497 作为针对 Lucky Thirteen 攻击的保护措施，encrypt-then-MAC 模式中 CBC 解密的 TLS 代码会执行额外的 MAC 计算，以补偿由于 padding 造成的消息大小差异。额外的 MAC 计算量建立在大量的时间花费在处理 64 个字节区块中这一假设的基础上，这一假设适用于大部分受支持的哈希，但不适用于 SHA-384。修正了 SHA-384 的额外工作量（还包括 TLS 中目前未使用的 SHA-512，以及无人问津的 MD2）。此更新是对 CVE-2013-0169 已修复漏洞的回归修复。CVE-2018-0498 Lucky 13 家族的攻击基础在于攻击者能够区分（长）有效 TLS-CBC padding 和无效 TLS-CBC padding。由于代码将 padlen = 0 设置为无效 padding，因此 HMAC 函数的输入长度即可提供此信息。有关此长度的信息（对 MD/SHA 块大小取模）可以通过使用了多少 MD/SHA padding（这不同于 TLS-CBC padding）来推断。如果从（静态）缓冲区读取了 MD/SHA padding，本地攻击者通过针对该缓冲区的缓存攻击，可能会获取有关使用量的信息。我们去掉了此缓冲区。现在唯一使用的缓冲区是内部 MD/SHA 缓冲区，该缓冲区始终会通过 process() 函数完全读取。CVE-2018-9988 防止边界检查的算术溢出，并在 ssl_parse_server_key_exchange() 读取签名长度前添加边界检查。CVE-2018-9989 防止边界检查的算术溢出，并在 ssl_parse_server_psk_hint() 读取长度前添加边界检查 对于 Debian 8“Jessie”，这些问题已在 1.3.9-2.1+deb8u4 版本中修复。建议您升级 polarssl 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

远程 Debian 9 主机上安装的多个程序包受到 dla-2826 公告中提及的多个漏洞影响。

  - 2.1.11 之前、2.7.2 之前及 2.8.0 之前的 ARM mbed TLS 在 ssl_parse_server_key_exchange() 中存在一个缓冲区过度读取漏洞，此漏洞可导致无效输入崩溃。(CVE-2018-9988)

  - 2.1.11 之前、2.7.2 之前及 2.8.0 之前的 ARM mbed TLS 在 ssl_parse_server_psk_hint() 中存在一个缓冲区过度读取漏洞，此漏洞可导致无效输入崩溃。(CVE-2018-9989)

  - 在 2.25.0 之前（2.16.9 LTS 之前及 2.7.18 LTS 之前）的 Mbed TLS 中发现了一个问题。mbedtls_mpi_exp_mod 执行的计算不受限制；因此，在生成 Diffie-Hellman 密钥对时，提供过大参数可能会导致拒绝服务。(CVE-2020-36475)

  - 在 2.24.0 之前（2.16.8 LTS 之前及 2.7.17 LTS 之前）的 Mbed TLS 中发现了一个问题。mbedtls_ssl_read 中缺少用于从内存擦除未用应用程序数据的明文缓冲区归零。
    (CVE-2020-36476)

  - 在 2.25.0 之前（2.16.9 LTS 之前及 2.7.18 LTS 之前）的 Mbed TLS 中发现了一个问题。NULL 算法参数条目看起来与 REAL 数组（大小为零）相同，因此证书被视为有效。但是，如果参数在任何方面均不匹配，则证书应被视为无效。(CVE-2020-36478)

  - 在 Trusted Firmware Mbed TLS 2.24.0 中，base64 PEM 文件解码中存在一个边信道漏洞，此漏洞让系统级别（管理员）攻击者可以通过针对在隔离环境中运行的软件（单步执行，尤其是 Intel sgx）发起受控信道和边信道攻击，来获取有关秘密 RSA 密钥的信息。(CVE-2021-24119)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
109237	openSUSE Security Update : mbedtls (openSUSE-2018-382)	Nessus	SuSE Local Security Checks	2018/4/23	2021/1/19	high
109237	openSUSEセキュリティ更新プログラム：mbedtls（openSUSE-2018-382）	Nessus	SuSE Local Security Checks	2018/4/23	2021/1/19	high
117711	Debian DLA-1518-1 : polarssl security update	Nessus	Debian Local Security Checks	2018/9/27	2024/8/6	medium
155683	Debian DLA-2826-1 : mbedtls - LTS security update	Nessus	Debian Local Security Checks	2021/11/23	2023/11/22	high
117711	Debian DLA-1518-1: polarsslのセキュリティ更新	Nessus	Debian Local Security Checks	2018/9/27	2024/8/6	medium
155683	Debian DLA-2826-1 : mbedtls - LTS セキュリティ更新	Nessus	Debian Local Security Checks	2021/11/23	2023/11/22	high
117711	Debian DLA-1518-1：polarssl 安全性更新	Nessus	Debian Local Security Checks	2018/9/27	2024/8/6	medium
155683	Debian DLA-2826-1：mbedtls - LTS 安全性更新	Nessus	Debian Local Security Checks	2021/11/23	2023/11/22	high
117711	Debian DLA-1518-1：polarssl 安全更新	Nessus	Debian Local Security Checks	2018/9/27	2024/8/6	medium
155683	Debian DLA-2826-1：mbedtls - LTS 安全更新	Nessus	Debian Local Security Checks	2021/11/23	2023/11/22	high

検出

プラグインの検索

high

high

medium

high

medium

high

medium

high

medium

high