- 2.16.6への更新

リリースノート：
https://tls.mbed.org/tech-updates/releases/mbedtls-2.16.6-and-2.7.15-r eleased

セキュリティアドバイザリ：
https://tls.mbed.org/tech-updates/security-advisories/mbedtls-security
-advisory-2020-04

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 2.16.6 より前の Arm Mbed TLS および 2.7.15 より前の 2.7.x で問題が見つかりました。サイドチャネルを十分に正確に測定できる攻撃者は、以下の方法で長期的な ECDSA 秘密鍵を復元できます。(1) アフィン座標への変換でサイドチャネルを利用してスカラー倍算の結果の射影座標を再構築する。(2) 2003 年に Naccache、Smart、Stern によって報告された攻撃を利用して、いくつかの測定を通じて、これらの射影座標から一時的なスカラーの数ビットを復元します。(3) ラティス攻撃を使用して、そこから署名に使用する長期 ECDSA 秘密鍵を得る。
    通常、攻撃者は SGX エンクレーブを攻撃し、信頼できない OS をコントロールする場合、十分なアクセス権を持っているはずです。(CVE-2020-10932)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

Manuel Pegourie-Gonnard レポート：

十分に正確なタイミングとメモリアクセスの情報にアクセスできる攻撃者（通常、信頼されないオペレーティングシステムがSGXやTrustZoneセキュアワールドなどのセキュアエンクレーブを攻撃）は、多数の署名操作を観察した後にECDSA秘密鍵を完全に復元する可能性があります。

mbedtls用のこの更新プログラムでは、以下の問題が修正されています：

  - mbedtlsはバージョン2.16.9に更新されました

  - CVE-2020-10932：十分に正確なタイミングおよびメモリアクセス情報にアクセスできる攻撃者（通常、信頼できないオペレーティングシステムが安全なエンクレーブを攻撃する）がECDSA秘密鍵を完全に復元できるようにする、ECCコードのサイドチャネルを修正しました（boo#1181468）。

リモートの Debian 10 ホストには、dla-3249 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 2.19.0 より前の Arm Mbed TLS および 2.0.0 より前の Arm Mbed Crypto では、決定論的 ECDSA が有効な場合、ブラインドに対して不十分なエントロピーのRNGを使用します。これにより、被害者が同じメッセージに何度も署名すると、攻撃者がサイドチャネル攻撃で秘密鍵を復元できる可能性があります。(Mbed TLS の場合、修正はバージョン 2.7.12 および 2.16.3 でも利用可能です。) (CVE-2019-16910)

  - Arm Mbed Crypto 2.1 および 2.19.1 までの Mbed TLS の ecdsa.c の ECDSA 署名実装は、逆数を計算する前にブラインドスカラーを削減しません。これにより、ローカルの攻撃者がサイドチャネル攻撃で秘密鍵を復元する可能性があります。(CVE-2019-18222)

  - 2.16.6 より前の Arm Mbed TLS および 2.7.15 より前の 2.7.x で問題が見つかりました。サイドチャネルを十分に正確に測定できる攻撃者は、以下の方法で長期的な ECDSA 秘密鍵を復元できます。(1) アフィン座標への変換でサイドチャネルを利用してスカラー倍算の結果の射影座標を再構築する。(2) 2003 年に Naccache、Smart、Stern によって報告された攻撃を利用して、いくつかの測定を通じて、これらの射影座標から一時的なスカラーの数ビットを復元します。(3) ラティス攻撃を使用して、そこから署名に使用する長期 ECDSA 秘密鍵を得る。
    通常、攻撃者は SGX エンクレーブを攻撃し、信頼できない OS をコントロールする場合、十分なアクセス権を持っているはずです。(CVE-2020-10932)

  - 2.16.5 より前の Arm Mbed TLS は、インポート中にキャッシュ使用率を測定することで、攻撃者が機密情報 (RSA 秘密鍵) を取得する可能性があります。(CVE-2020-10941)

  - 2.23.0 までの Trusted Firmware Mbed TLS の library/ssl_msg.c の mbedtls_ssl_decrypt_buf の Lucky 13 タイミングサイドチャネルにより、攻撃者は秘密鍵情報を復元できます。これは、パディング長に基づいて計算された時間差のため、CBC モードに影響します。(CVE-2020-16150)

  - 2.23.0 より前の Arm Mbed TLS で問題が見つかりました。冪剰余のサイドチャネルにより、安全なエンクレーブで使用される RSA 秘密鍵が漏洩する可能性があります。(CVE-2020-36421)

  - 2.23.0 より前の Arm Mbed TLS で問題が見つかりました。サイドチャネルにより、mbedtls_ecp_check_pub_priv、mbedtls_pk_parse_key、mbedtls_pk_parse_keyfile、mbedtls_ecp_mul、mbedtls_ecp_mul_restartable に関連する ECC 秘密鍵の回復が可能になります。(CVE-2020-36422)

  - 2.23.0 より前の Arm Mbed TLS で問題が見つかりました。特定の Lucky 13 対策がハードウェアアクセラレータのケースを適切に考慮していないため、リモート攻撃者が平文を復元する可能性があります。
    (CVE-2020-36423)

  - 2.24.0 より前の Arm Mbed TLS で問題が見つかりました。攻撃者は、ベースブラインディング/アンブラインディング値の生成に対するサイドチャネル攻撃を介して、秘密鍵 (RSA または静的ディフィー・ヘルマン用) を回復できます。
    (CVE-2020-36424)

  - 2.24.0 より前の Arm Mbed TLS で問題が見つかりました。CRL を介して証明書を失効させるかどうかを決定する際に、revocationDate のチェックを誤って使用します。状況によっては、攻撃者がローカルクロックを変更することでこれを悪用する可能性があります。(CVE-2020-36425)

  - 2.24.0 以前の Arm Mbed TLS で問題が検出されました。 mbedtls_x509_crl_parse_der に (1 バイトの) バッファオーバーリードがあります。(CVE-2020-36426)

  - 2.25.0 より前 (および 2.16.9 LTS より前と 2.7.18 LTS より前) の Mbed TLS に問題が発見されました。mbedtls_mpi_exp_mod によって実行される計算は制限されていません。したがって、過剰に大きなパラメーターを指定すると、Diffie-Hellman キーペアを生成する際にサービス拒否が発生する可能性があります。(CVE-2020-36475)

  - 2.24.0 より前 (および 2.16.8 LTS より前と 2.7.17 LTS より前) の Mbed TLS に問題が発見されました。未使用のアプリケーションデータをメモリから消去するための mbedtls_ssl_read の平文バッファのゼロ化が欠如しています。
    (CVE-2020-36476)

  - 2.25.0 より前 (および 2.16.9 LTS より前と 2.7.18 LTS より前) の Mbed TLS に問題が発見されました。NULL アルゴリズムパラメーターエントリは REAL(サイズゼロ) の配列と同一に見えるため、証明書は有効と見なされます。ただし、パラメーターがまったく一致しない場合、証明書は無効と見なされます。(CVE-2020-36478)

  - Trusted Firmware Mbed TLS 2.24.0 で、base64 PEM ファイルデコードのサイドチャネル脆弱性により、システムレベル (管理者) の攻撃者が、隔離された環境で実行されているソフトウェアの制御チャネル攻撃およびサイドチャネル攻撃を介して、秘密 RSA キーに関する情報を取得する可能性があります。これは、特に Intel SGX のシングルステップになる可能性があります。(CVE-2021-24119)

  - 入力パスワードの長さが 0 のとき、mbedtls_pkcs12_derivation 関数の mbed TLS 3.0.0 以前に、サービス拒否の脆弱性が存在します。(CVE-2021-43666)

  - mbedtls_ssl_set_session() の失敗によって実証されているように、 3.0.1 より前の Mbed TLS には、特定のメモリ不足状態で二重解放があります。(CVE-2021-44732)

  - 2.28.1 より前の Mbed TLS および 3.2.0 より前の 3.x で問題が見つかりました。一部の構成では、認証されていない攻撃者が無効な ClientHello メッセージを DTLS サーバーに送信し、最大 255 バイトのヒープベースのバッファオーバーリードを引き起こす可能性があります。これにより、サーバーのクラッシュや、エラー応答に基づく情報漏洩が発生する可能性があります。影響を受ける構成では、MBEDTLS_SSL_DTLS_CLIENT_PORT_REUSE が有効化されており、MBEDTLS_SSL_IN_CONTENT_LEN が以下の構成に依存するしきい値未満です。mbedtls_ssl_cookie_check を使用する場合は 258 バイト、カスタムクッキーチェック関数で最大 571 バイト。
    (CVE-2022-35409)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
137162	Fedora 32：mbedtls（2020-9a6e8e63e9）	Nessus	Fedora Local Security Checks	2020/6/5	2023/3/7	medium
246290	Linux Distros のパッチ未適用の脆弱性: CVE-2020-10932	Nessus	Misc.	2025/8/8	2025/8/8	medium
135604	FreeBSD：Mbed TLS -- ECDSAでのサイドチャネル攻撃（bf1f47c4-7f1b-11ea-bf94-001cc0382b2f）	Nessus	FreeBSD Local Security Checks	2020/4/16	2023/3/6	medium
137158	Fedora 31：mbedtls（2020-42564738a1）	Nessus	Fedora Local Security Checks	2020/6/5	2023/3/7	medium
147174	openSUSEセキュリティ更新プログラム：mbedtls（openSUSE-2021-384）	Nessus	SuSE Local Security Checks	2021/3/8	2023/3/6	medium
169300	Debian DLA-3249-1: mbedtls - LTS セキュリティ更新	Nessus	Debian Local Security Checks	2022/12/26	2025/1/22	critical

検出

プラグインの検索

medium

medium

medium

medium

medium

critical