リモートホストにインストールされている FreeBSD のバージョンは、テスト済みバージョンより前です。したがって、fceb2b08-cb76-11ec-a06f-d4c9ef517024のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - c_rehash スクリプトはシェルのメタ文字を適切にサニタイズしておらず、コマンドインジェクションを防ぎません。このスクリプトは、一部のオペレーティングシステムによって、自動的に実行される方法で配布されます。このようなオペレーティングシステムでは、攻撃者がスクリプトの権限で任意のコマンドを実行する可能性があります。c_rehash スクリプトの使用は旧式と考えられており、OpenSSL rehash コマンドラインツールで置き換える必要があります。
    OpenSSL 3.0.3で修正されました (3.0.0、3.0.1、3.0.2 が影響を受けました)。OpenSSL 1.1.1o で修正されました (1.1.1-1.1.1n が影響を受けました)。
    OpenSSL 1.0.2ze で修正されました (1.0.2-1.0.2zd が影響を受けました)。(CVE-2022-1292)

  - 関数「OCSP_basic_verify」は、OCSP 応答で署名者証明書を検証します。(デフォルト以外の) フラグ OCSP_NOCHECKS が使用される場合、応答署名証明書が検証に失敗した場合でも、応答は正になります (検証が成功したことを意味します)。「OCSP_basic_verify」のほとんどのユーザーは、OCSP_NOCHECKS フラグを使用しないことが予想されます。この場合、証明書検証が失敗した場合、「OCSP_basic_verify」関数は負の値 (致命的なエラーを示す) を返します。この場合の通常の期待される戻り値は 0 です。この問題は、コマンドライン OpenSSL ocsp アプリケーションにも影響を与えます。-no_cert_checks オプションのある ocsp 応答を検証する際に、
    コマンドラインアプリケーションは、実際には失敗しているにもかかわらず、検証が成功していると報告します。この場合、間違いの正常な応答には、失敗を示し、明らかに成功した結果とは矛盾するエラーメッセージも付随します。OpenSSL 3.0.3で修正されました (3.0.0、3.0.1、3.0.2 が影響を受けました)。(CVE-2022-1343)

  - RC4-MD5 暗号スイートの OpenSSL 3.0実装が、AAD データを MAC キーとして不適切に使用します。
    これにより、MAC キーが自明に予測可能になります。攻撃者はこの問題を悪用し、中間者攻撃を実行して 1 つのエンドポイントから OpenSSL 3.0受信者に送信されるデータを変更することで、変更されたデータが MAC 整合性チェックにパスするようにする可能性があります。OpenSSL 3.0エンドポイントから非 OpenSSL 3.0エンドポイントに送信されたデータは、受信者によって常に拒否され、接続はその時点で失敗します。多くのアプリケーションプロトコルでは、最初にクライアントからサーバーにデータを送信する必要があります。
    したがって、このような場合、OpenSSL 3.0以外のクライアントと通信する際に影響を受けるのは、OpenSSL 3.0サーバーのみです。両方のエンドポイントが OpenSSL 3.0の場合、攻撃者は両方向に送信されているデータを変更する可能性があります。この場合、アプリケーションプロトコルに関係なく、クライアントとサーバーの両方が影響を受ける可能性があります。注意: 攻撃者が存在しない場合、このバグにより、OpenSSL 3.0以外のエンドポイントと通信する OpenSSL 3.0エンドポイントが、この暗号スイートの使用する場合、ハンドシェイクの完了に失敗します。データの機密性はこの問題の影響を受けません。つまり、攻撃者はこの暗号スイートを使用して暗号化されたデータを復号化できません。変更のみが可能です。この攻撃が機能するためには、両方のエンドポイントが RC4-MD5 暗号スイートを正当にネゴシエートする必要があります。この暗号スイートは、デフォルトでは OpenSSL 3.0でコンパイルされておらず、デフォルトのプロバイダーまたはデフォルトの暗号スイートリストでは利用できません。TLSv1.3 がネゴシエートされた場合、この暗号スイートは使用されません。OpenSSL 3.0エンドポイントがこの暗号スイートを使用するには、以下が発生している必要があります。1) OpenSSL は (デフォルトではない) コンパイル時間オプション enable-weak-ssl-ciphers でコンパイルされている必要があります。2) OpenSSL は (アプリケーションコードまたは構成を通じて) レガシープロバイダーを明示的にロードしている必要があります。3) 暗号スイートは暗号スイートリストに明示的に追加されている必要があります。4) libssl セキュリティレベルが 0 (デフォルトは 1) に設定されている必要があります。5) TLSv1.3 より前のバージョンの SSL/TLS がネゴシエートされている必要があります。6) 両方のエンドポイントは、両方のエンドポイントに共通する他のエンドポイントよりも優先して RC4-MD5 暗号スイートをネゴシエートする必要があります。OpenSSL 3.0.3で修正されました (3.0.0、3.0.1、3.0.2 が影響を受けました)。 (CVE-2022-1434)

  - ハッシュテーブルを空にする OPENSSL_LH_flush() 関数に、削除されたハッシュテーブルエントリによって占有されているメモリの再利用を破損させるバグが含まれています。この関数は、証明書またはキーをデコードするときに使用されます。長期間有効なプロセスが証明書またはキーを定期的にデコードすると、そのメモリ使用率が無制限に拡大し、オペレーティングシステムによってプロセスが終了され、サービス拒否が引き起こされる可能性があります。
    また、空のハッシュテーブルエントリをトラバースするのにさらに時間がかかるようになります。通常、このような長期間有効なプロセスは、クライアント証明書認証を受け入れるように構成された TLS クライアントまたは TLS サーバーです。この関数は OpenSSL 3.0バージョンに追加されたため、古いリリースはこの問題の影響を受けません。OpenSSL 3.0.3で修正されました (3.0.0、3.0.1、3.0.2 が影響を受けました)。(CVE-2022-1473)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの SUSE Linux SLED15 / SLES15 / openSUSE 15 ホストには、SUSE-SU-2022:2306-1 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - c_rehash スクリプトはシェルのメタ文字を適切にサニタイズしておらず、コマンドインジェクションを防ぎません。このスクリプトは、一部のオペレーティングシステムによって、自動的に実行される方法で配布されます。このようなオペレーティングシステムでは、攻撃者がスクリプトの権限で任意のコマンドを実行する可能性があります。c_rehash スクリプトの使用は旧式と考えられており、OpenSSL rehash コマンドラインツールで置き換える必要があります。
    OpenSSL 3.0.3 で修正されました (3.0.0、3.0.1、3.0.2 が影響を受けました)。OpenSSL 1.1.1o で修正されました (1.1.1-1.1.1n が影響を受けました)。
    OpenSSL 1.0.2ze で修正されました (1.0.2-1.0.2zd が影響を受けました)。(CVE-2022-1292)

  - 関数「OCSP_basic_verify」は、OCSP 応答で署名者証明書を検証します。(デフォルト以外の) フラグ OCSP_NOCHECKS が使用される場合、応答署名証明書が検証に失敗した場合でも、応答は正になります (検証が成功したことを意味します)。「OCSP_basic_verify」のほとんどのユーザーは、OCSP_NOCHECKS フラグを使用しないことが予想されます。この場合、証明書検証が失敗した場合、「OCSP_basic_verify」関数は負の値 (致命的なエラーを示す) を返します。この場合の通常の期待される戻り値は 0 です。この問題は、コマンドライン OpenSSL ocsp アプリケーションにも影響を与えます。-no_cert_checks オプションのある ocsp 応答を検証する際に、
    コマンドラインアプリケーションは、実際には失敗しているにもかかわらず、検証が成功していると報告します。この場合、間違いの正常な応答には、失敗を示し、明らかに成功した結果とは矛盾するエラーメッセージも付随します。OpenSSL 3.0.3で修正されました (3.0.0、3.0.1、3.0.2 が影響を受けました)。(CVE-2022-1343)

  - RC4-MD5 暗号スイートの OpenSSL 3.0実装が、AAD データを MAC キーとして不適切に使用します。
    これにより、MAC キーが自明に予測可能になります。攻撃者はこの問題を悪用し、中間者攻撃を実行して 1 つのエンドポイントから OpenSSL 3.0受信者に送信されるデータを変更することで、変更されたデータが MAC 整合性チェックにパスするようにする可能性があります。OpenSSL 3.0エンドポイントから非 OpenSSL 3.0エンドポイントに送信されたデータは、受信者によって常に拒否され、接続はその時点で失敗します。多くのアプリケーションプロトコルでは、最初にクライアントからサーバーにデータを送信する必要があります。
    したがって、このような場合、OpenSSL 3.0以外のクライアントと通信する際に影響を受けるのは、OpenSSL 3.0サーバーのみです。両方のエンドポイントが OpenSSL 3.0の場合、攻撃者は両方向に送信されているデータを変更する可能性があります。この場合、アプリケーションプロトコルに関係なく、クライアントとサーバーの両方が影響を受ける可能性があります。注意: 攻撃者が存在しない場合、このバグにより、OpenSSL 3.0以外のエンドポイントと通信する OpenSSL 3.0エンドポイントが、この暗号スイートの使用する場合、ハンドシェイクの完了に失敗します。データの機密性はこの問題の影響を受けません。つまり、攻撃者はこの暗号スイートを使用して暗号化されたデータを復号化できません。変更のみが可能です。この攻撃が機能するためには、両方のエンドポイントが RC4-MD5 暗号スイートを正当にネゴシエートする必要があります。この暗号スイートは、デフォルトでは OpenSSL 3.0でコンパイルされておらず、デフォルトのプロバイダーまたはデフォルトの暗号スイートリストでは利用できません。TLSv1.3 がネゴシエートされた場合、この暗号スイートは使用されません。OpenSSL 3.0エンドポイントがこの暗号スイートを使用するには、以下が発生している必要があります。1) OpenSSL は (デフォルトではない) コンパイル時間オプション enable-weak-ssl-ciphers でコンパイルされている必要があります。2) OpenSSL は (アプリケーションコードまたは構成を通じて) レガシープロバイダーを明示的にロードしている必要があります。3) 暗号スイートは暗号スイートリストに明示的に追加されている必要があります。4) libssl セキュリティレベルが 0 (デフォルトは 1) に設定されている必要があります。5) TLSv1.3 より前のバージョンの SSL/TLS がネゴシエートされている必要があります。6) 両方のエンドポイントは、両方のエンドポイントに共通する他のエンドポイントよりも優先して RC4-MD5 暗号スイートをネゴシエートする必要があります。OpenSSL 3.0.3で修正されました (3.0.0、3.0.1、3.0.2 が影響を受けました)。(CVE-2022-1434)

  - ハッシュテーブルを空にする OPENSSL_LH_flush() 関数に、削除されたハッシュテーブルエントリによって占有されているメモリの再利用を破損させるバグが含まれています。この関数は、証明書またはキーをデコードするときに使用されます。長期間有効なプロセスが証明書またはキーを定期的にデコードすると、そのメモリ使用率が無制限に拡大し、オペレーティングシステムによってプロセスが終了され、サービス拒否が引き起こされる可能性があります。
    また、空のハッシュテーブルエントリをトラバースするのにさらに時間がかかるようになります。通常、このような長期間有効なプロセスは、クライアント証明書認証を受け入れるように構成された TLS クライアントまたは TLS サーバーです。この関数は OpenSSL 3.0 バージョンに追加されたため、古いリリースはこの問題の影響を受けません。OpenSSL 3.0.3で修正されました (3.0.0、3.0.1、3.0.2 が影響を受けました)。(CVE-2022-1473)

  - CVE-2022-1292で特定された c_rehash シェルコマンドインジェクションに加えて、コマンドインジェクションを防止するために c_rehash スクリプトがシェルメタ文字を適切にサニタイズしていないという状況がコードレビューで見つかりました。CVE-2022-1292 が修正されたとき、ハッシュされている証明書のファイル名がシェルを介して実行されるコマンドに渡される可能性があるスクリプトに他の場所があるとは発見されませんでした。このスクリプトは、一部のオペレーティングシステムによって、自動的に実行される方法で配布されます。このようなオペレーティングシステムでは、攻撃者がスクリプトの権限で任意のコマンドを実行する可能性があります。c_rehash スクリプトの使用は旧式と考えられており、OpenSSL rehash コマンドラインツールで置き換える必要があります。OpenSSL 3.0.4 で修正されました (3.0.0、3.0.1、3.0.2、3.0.3 が影響を受けます)。OpenSSL 1.1.1p で修正されました (1.1.1-1.1.1o が影響を受けます)。OpenSSL 1.0.2zf で修正されました (1.0.2-1.0.2ze が影響を受けます)。(CVE-2022-2068)

  - AES-NI アセンブリ最適化実装を使用する 32 ビット x86 プラットフォームの AES OCB モードは、一部の状況でデータ全体を暗号化しません。これにより、書き込まれなかったメモリに既存の 16 バイトのデータが漏洩する可能性があります。インプレース暗号化の特別なケースでは、平文の 16 バイトが漏洩します。OpenSSL は、TLS および DTLS の OCB ベースの暗号化パッケージをサポートしていないため、どちらも影響を受けません。OpenSSL 3.0.5 で修正されました (3.0.0-3.0.4 が影響を受けました)。OpenSSL 1.1.1q で修正されました (1.1.1-1.1.1p が影響を受けます)。(CVE-2022-2097)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの Oracle Linux 9 ホストに、ELSA-2022-9751 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - c_rehash スクリプトはシェルのメタ文字を適切にサニタイズしておらず、コマンドインジェクションを防ぎません。このスクリプトは、一部のオペレーティングシステムによって、自動的に実行される方法で配布されます。このようなオペレーティングシステムでは、攻撃者がスクリプトの権限で任意のコマンドを実行する可能性があります。c_rehash スクリプトの使用は旧式と考えられており、OpenSSL rehash コマンドラインツールで置き換える必要があります。
    OpenSSL 3.0.3 で修正されました (3.0.0、3.0.1、3.0.2 が影響を受けました)。OpenSSL 1.1.1o で修正されました (1.1.1-1.1.1n が影響を受けました)。
    OpenSSL 1.0.2ze で修正されました (1.0.2-1.0.2zd が影響を受けました)。(CVE-2022-1292)

  - CVE-2022-1292 で特定された c_rehash シェルコマンドインジェクションに加えて、コマンドインジェクションを防止するために c_rehash スクリプトがシェルメタ文字を適切にサニタイズしていないという状況がコードレビューで見つかりました。CVE-2022-1292 が修正されたとき、ハッシュされている証明書のファイル名がシェルを介して実行されるコマンドに渡される可能性があるスクリプトに他の場所があるとは発見されませんでした。このスクリプトは、一部のオペレーティングシステムによって、自動的に実行される方法で配布されます。このようなオペレーティングシステムでは、攻撃者がスクリプトの権限で任意のコマンドを実行する可能性があります。c_rehash スクリプトの使用は旧式と考えられており、OpenSSL rehash コマンドラインツールで置き換える必要があります。OpenSSL 3.0.4 で修正されました (3.0.0、3.0.1、3.0.2、3.0.3 が影響を受けます)。OpenSSL 1.1.1p で修正されました (1.1.1-1.1.1o が影響を受けます)。OpenSSL 1.0.2zf で修正されました (1.0.2-1.0.2ze が影響を受けます)。(CVE-2022-2068)

  - AES-NI アセンブリ最適化実装を使用する 32 ビット x86 プラットフォームの AES OCB モードは、一部の状況でデータ全体を暗号化しません。これにより、書き込まれなかったメモリに既存の 16 バイトのデータが漏洩する可能性があります。インプレース暗号化の特別なケースでは、平文の 16 バイトが漏洩します。OpenSSL は、TLS および DTLS の OCB ベースの暗号化パッケージをサポートしていないため、どちらも影響を受けません。OpenSSL 3.0.5 で修正されました (3.0.0-3.0.4 が影響を受けました)。OpenSSL 1.1.1q で修正されました (1.1.1-1.1.1p が影響を受けます)。(CVE-2022-2097)

  - 関数「OCSP_basic_verify」は、OCSP 応答で署名者証明書を検証します。(デフォルト以外の) フラグ OCSP_NOCHECKS が使用される場合、応答署名証明書が検証に失敗した場合でも、応答は正になります (検証が成功したことを意味します)。「OCSP_basic_verify」のほとんどのユーザーは、OCSP_NOCHECKS フラグを使用しないことが予想されます。この場合、証明書検証が失敗した場合、「OCSP_basic_verify」関数は負の値 (致命的なエラーを示す) を返します。この場合の通常の期待される戻り値は 0 です。この問題は、コマンドライン OpenSSL ocsp アプリケーションにも影響を与えます。-no_cert_checks オプションのある ocsp 応答を検証する際に、
    コマンドラインアプリケーションは、実際には失敗しているにもかかわらず、検証が成功していると報告します。この場合、間違いの正常な応答には、失敗を示し、明らかに成功した結果とは矛盾するエラーメッセージも付随します。OpenSSL 3.0.3 で修正されました (3.0.0、3.0.1、3.0.2 が影響を受けました)。(CVE-2022-1343)

  - ハッシュテーブルを空にする OPENSSL_LH_flush() 関数に、削除されたハッシュテーブルエントリによって占有されているメモリの再利用を破損させるバグが含まれています。この関数は、証明書またはキーをデコードするときに使用されます。長期間有効なプロセスが証明書またはキーを定期的にデコードすると、そのメモリ使用率が無制限に拡大し、オペレーティングシステムによってプロセスが終了され、サービス拒否が引き起こされる可能性があります。
    また、空のハッシュテーブルエントリをトラバースするのにさらに時間がかかるようになります。通常、このような長期間有効なプロセスは、クライアント証明書認証を受け入れるように構成された TLS クライアントまたは TLS サーバーです。この関数は OpenSSL 3.0 バージョンに追加されたため、古いリリースはこの問題の影響を受けません。OpenSSL 3.0.3 で修正されました (3.0.0、3.0.1、3.0.2 が影響を受けました)。(CVE-2022-1473)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートホストにインストールされている OpenSSL は、3.0.3 より前のバージョンです。したがって、3.0.3 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - ハッシュテーブルを空にする OPENSSL_LH_flush() 関数に、削除されたハッシュテーブルエントリによって占有されているメモリの再利用を破損させるバグが含まれています。この関数は、証明書またはキーをデコードするときに使用されます。長期間有効なプロセスが証明書またはキーを定期的にデコードすると、そのメモリ使用率が無制限に拡大し、オペレーティングシステムによってプロセスが終了され、サービス拒否が引き起こされる可能性があります。
    また、空のハッシュテーブルエントリをトラバースするのにさらに時間がかかるようになります。通常、このような長期間有効なプロセスは、クライアント証明書認証を受け入れるように構成された TLS クライアントまたは TLS サーバーです。この関数は OpenSSL 3.0バージョンに追加されたため、古いリリースはこの問題の影響を受けません。OpenSSL 3.0.3で修正されました (3.0.0、3.0.1、3.0.2 が影響を受けました)。(CVE-2022-1473)

  - RC4-MD5 暗号スイートの OpenSSL 3.0実装が、AAD データを MAC キーとして不適切に使用します。
    これにより、MAC キーが自明に予測可能になります。攻撃者はこの問題を悪用し、中間者攻撃を実行して 1 つのエンドポイントから OpenSSL 3.0受信者に送信されるデータを変更することで、変更されたデータが MAC 整合性チェックにパスするようにする可能性があります。OpenSSL 3.0エンドポイントから非 OpenSSL 3.0エンドポイントに送信されたデータは、受信者によって常に拒否され、接続はその時点で失敗します。多くのアプリケーションプロトコルでは、最初にクライアントからサーバーにデータを送信する必要があります。
    したがって、このような場合、OpenSSL 3.0以外のクライアントと通信する際に影響を受けるのは、OpenSSL 3.0サーバーのみです。両方のエンドポイントが OpenSSL 3.0の場合、攻撃者は両方向に送信されているデータを変更する可能性があります。この場合、アプリケーションプロトコルに関係なく、クライアントとサーバーの両方が影響を受ける可能性があります。注意: 攻撃者が存在しない場合、このバグにより、OpenSSL 3.0以外のエンドポイントと通信する OpenSSL 3.0エンドポイントが、この暗号スイートの使用する場合、ハンドシェイクの完了に失敗します。データの機密性はこの問題の影響を受けません。つまり、攻撃者はこの暗号スイートを使用して暗号化されたデータを復号化できません。変更のみが可能です。この攻撃が機能するためには、両方のエンドポイントが RC4-MD5 暗号スイートを正当にネゴシエートする必要があります。この暗号スイートは、デフォルトでは OpenSSL 3.0でコンパイルされておらず、デフォルトのプロバイダーまたはデフォルトの暗号スイートリストでは利用できません。TLSv1.3 がネゴシエートされた場合、この暗号スイートは使用されません。OpenSSL 3.0エンドポイントがこの暗号スイートを使用するには、以下が発生している必要があります。1) OpenSSL は (デフォルトではない) コンパイル時間オプション enable-weak-ssl-ciphers でコンパイルされている必要があります。2) OpenSSL は (アプリケーションコードまたは構成を通じて) レガシープロバイダーを明示的にロードしている必要があります。3) 暗号スイートは暗号スイートリストに明示的に追加されている必要があります。4) libssl セキュリティレベルが 0 (デフォルトは 1) に設定されている必要があります。5) TLSv1.3 より前のバージョンの SSL/TLS がネゴシエートされている必要があります。6) 両方のエンドポイントは、両方のエンドポイントに共通する他のエンドポイントよりも優先して RC4-MD5 暗号スイートをネゴシエートする必要があります。OpenSSL 3.0.3で修正されました (3.0.0、3.0.1、3.0.2 が影響を受けました)。(CVE-2022-1434)

  - 関数「OCSP_basic_verify」は、OCSP 応答で署名者証明書を検証します。(デフォルト以外の) フラグ OCSP_NOCHECKS が使用される場合、応答署名証明書が検証に失敗した場合でも、応答は正になります (検証が成功したことを意味します)。「OCSP_basic_verify」のほとんどのユーザーは、OCSP_NOCHECKS フラグを使用しないことが予想されます。この場合、証明書検証が失敗した場合、「OCSP_basic_verify」関数は負の値 (致命的なエラーを示す) を返します。この場合の通常の期待される戻り値は 0 です。この問題は、コマンドライン OpenSSL ocsp アプリケーションにも影響を与えます。-no_cert_checks オプションのある ocsp 応答を検証する際に、
    コマンドラインアプリケーションは、実際には失敗しているにもかかわらず、検証が成功していると報告します。この場合、間違いの正常な応答には、失敗を示し、明らかに成功した結果とは矛盾するエラーメッセージも付随します。OpenSSL 3.0.3で修正されました (3.0.0、3.0.1、3.0.2 が影響を受けました)。(CVE-2022-1343)

  - c_rehash スクリプトはシェルのメタ文字を適切にサニタイズしておらず、コマンドインジェクションを防ぎません。このスクリプトは、一部のオペレーティングシステムによって、自動的に実行される方法で配布されます。このようなオペレーティングシステムでは、攻撃者がスクリプトの権限で任意のコマンドを実行する可能性があります。c_rehash スクリプトの使用は旧式と考えられており、OpenSSL rehash コマンドラインツールで置き換える必要があります。
    OpenSSL 3.0.3で修正されました (3.0.0、3.0.1、3.0.2 が影響を受けました)。OpenSSL 1.1.1o で修正されました (1.1.1-1.1.1n が影響を受けました)。
    OpenSSL 1.0.2ze で修正されました (1.0.2-1.0.2zd が影響を受けました)。(CVE-2022-1292)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモート Redhat Enterprise Linux 9 ホストにインストールされているパッケージは、RHSA-2022: 6224 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - openssl: c_rehash スクリプトでコマンドインジェクションが可能 (CVE-2022-1292)

  - openssl: OCSP_NOCHECKS を使用すると、署名者証明書の検証が不正確な応答を返す (CVE-2022-1343)

  - openssl: OPENSSL_LH_flush() がメモリの再利用を中断する (CVE-2022-1473)

  - openssl: c_rehash スクリプトでコマンドインジェクションが可能 (CVE-2022-2068)

  - openssl: AES OCB が一部のバイトの暗号化に失敗します (CVE-2022-2097)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートホストにインストールされている OpenSSL は、3.0.3-1 より前のバージョンです。したがって、ALAS2022-2022-104 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - c_rehash スクリプトはシェルのメタ文字を適切にサニタイズしておらず、コマンドインジェクションを防ぎません。このスクリプトは、一部のオペレーティングシステムによって、自動的に実行される方法で配布されます。このようなオペレーティングシステムでは、攻撃者がスクリプトの権限で任意のコマンドを実行する可能性があります。c_rehash スクリプトの使用は旧式と考えられており、OpenSSL rehash コマンドラインツールで置き換える必要があります。
    OpenSSL 3.0.3 で修正されました (3.0.0、3.0.1、3.0.2 が影響を受けました)。OpenSSL 1.1.1o で修正されました (1.1.1-1.1.1n が影響を受けました)。
    OpenSSL 1.0.2ze で修正されました (1.0.2-1.0.2zd が影響を受けました)。(CVE-2022-1292)

  - 関数「OCSP_basic_verify」は、OCSP 応答で署名者証明書を検証します。(デフォルト以外の) フラグ OCSP_NOCHECKS が使用される場合、応答署名証明書が検証に失敗した場合でも、応答は正になります (検証が成功したことを意味します)。「OCSP_basic_verify」のほとんどのユーザーは、OCSP_NOCHECKS フラグを使用しないことが予想されます。この場合、証明書検証が失敗した場合、「OCSP_basic_verify」関数は負の値 (致命的なエラーを示す) を返します。この場合の通常の期待される戻り値は 0 です。この問題は、コマンドライン OpenSSL ocsp アプリケーションにも影響を与えます。-no_cert_checks オプションのある ocsp 応答を検証する際に、
    コマンドラインアプリケーションは、実際には失敗しているにもかかわらず、検証が成功していると報告します。この場合、間違いの正常な応答には、失敗を示し、明らかに成功した結果とは矛盾するエラーメッセージも付随します。OpenSSL 3.0.3で修正されました (3.0.0、3.0.1、3.0.2 が影響を受けました)。(CVE-2022-1343)

  - RC4-MD5 暗号スイートの OpenSSL 3.0実装が、AAD データを MAC キーとして不適切に使用します。
    これにより、MAC キーが自明に予測可能になります。攻撃者はこの問題を悪用し、中間者攻撃を実行して 1 つのエンドポイントから OpenSSL 3.0受信者に送信されるデータを変更することで、変更されたデータが MAC 整合性チェックにパスするようにする可能性があります。OpenSSL 3.0エンドポイントから非 OpenSSL 3.0エンドポイントに送信されたデータは、受信者によって常に拒否され、接続はその時点で失敗します。多くのアプリケーションプロトコルでは、最初にクライアントからサーバーにデータを送信する必要があります。
    したがって、このような場合、OpenSSL 3.0以外のクライアントと通信する際に影響を受けるのは、OpenSSL 3.0サーバーのみです。両方のエンドポイントが OpenSSL 3.0の場合、攻撃者は両方向に送信されているデータを変更する可能性があります。この場合、アプリケーションプロトコルに関係なく、クライアントとサーバーの両方が影響を受ける可能性があります。注意: 攻撃者が存在しない場合、このバグにより、OpenSSL 3.0以外のエンドポイントと通信する OpenSSL 3.0エンドポイントが、この暗号スイートの使用する場合、ハンドシェイクの完了に失敗します。データの機密性はこの問題の影響を受けません。つまり、攻撃者はこの暗号スイートを使用して暗号化されたデータを復号化できません。変更のみが可能です。この攻撃が機能するためには、両方のエンドポイントが RC4-MD5 暗号スイートを正当にネゴシエートする必要があります。この暗号スイートは、デフォルトでは OpenSSL 3.0でコンパイルされておらず、デフォルトのプロバイダーまたはデフォルトの暗号スイートリストでは利用できません。TLSv1.3 がネゴシエートされた場合、この暗号スイートは使用されません。OpenSSL 3.0エンドポイントがこの暗号スイートを使用するには、以下が発生している必要があります。1) OpenSSL は (デフォルトではない) コンパイル時間オプション enable-weak-ssl-ciphers でコンパイルされている必要があります。2) OpenSSL は (アプリケーションコードまたは構成を通じて) レガシープロバイダーを明示的にロードしている必要があります。3) 暗号スイートは暗号スイートリストに明示的に追加されている必要があります。4) libssl セキュリティレベルが 0 (デフォルトは 1) に設定されている必要があります。5) TLSv1.3 より前のバージョンの SSL/TLS がネゴシエートされている必要があります。6) 両方のエンドポイントは、両方のエンドポイントに共通する他のエンドポイントよりも優先して RC4-MD5 暗号スイートをネゴシエートする必要があります。OpenSSL 3.0.3で修正されました (3.0.0、3.0.1、3.0.2 が影響を受けました)。(CVE-2022-1434)

  - ハッシュテーブルを空にする OPENSSL_LH_flush() 関数に、削除されたハッシュテーブルエントリによって占有されているメモリの再利用を破損させるバグが含まれています。この関数は、証明書またはキーをデコードするときに使用されます。長期間有効なプロセスが証明書またはキーを定期的にデコードすると、そのメモリ使用率が無制限に拡大し、オペレーティングシステムによってプロセスが終了され、サービス拒否が引き起こされる可能性があります。
    また、空のハッシュテーブルエントリをトラバースするのにさらに時間がかかるようになります。通常、このような長期間有効なプロセスは、クライアント証明書認証を受け入れるように構成された TLS クライアントまたは TLS サーバーです。この関数は OpenSSL 3.0 バージョンに追加されたため、古いリリースはこの問題の影響を受けません。OpenSSL 3.0.3 で修正されました (3.0.0、3.0.1、3.0.2 が影響を受けました)。(CVE-2022-1473)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの Oracle Linux 9 ホストに、ELSA-2022-6224 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - c_rehash スクリプトはシェルのメタ文字を適切にサニタイズしておらず、コマンドインジェクションを防ぎません。このスクリプトは、一部のオペレーティングシステムによって、自動的に実行される方法で配布されます。このようなオペレーティングシステムでは、攻撃者がスクリプトの権限で任意のコマンドを実行する可能性があります。c_rehash スクリプトの使用は旧式と考えられており、OpenSSL rehash コマンドラインツールで置き換える必要があります。
    OpenSSL 3.0.3で修正されました (3.0.0、3.0.1、3.0.2 が影響を受けました)。OpenSSL 1.1.1o で修正されました (1.1.1-1.1.1n が影響を受けました)。
    OpenSSL 1.0.2ze で修正されました (1.0.2-1.0.2zd が影響を受けました)。(CVE-2022-1292)

  - CVE-2022-1292で特定された c_rehash シェルコマンドインジェクションに加えて、コマンドインジェクションを防止するために c_rehash スクリプトがシェルメタ文字を適切にサニタイズしていないという状況がコードレビューで見つかりました。CVE-2022-1292が修正されたとき、ハッシュされている証明書のファイル名がシェルを介して実行されるコマンドに渡される可能性があるスクリプトに他の場所があるとは発見されませんでした。このスクリプトは、一部のオペレーティングシステムによって、自動的に実行される方法で配布されます。このようなオペレーティングシステムでは、攻撃者がスクリプトの権限で任意のコマンドを実行する可能性があります。c_rehash スクリプトの使用は旧式と考えられており、OpenSSL rehash コマンドラインツールで置き換える必要があります。OpenSSL 3.0.4で修正されました (3.0.0、3.0.1、3.0.2、3.0.3 が影響を受けます)。OpenSSL 1.1.1p で修正されました (1.1.1-1.1.1o が影響を受けます)。OpenSSL 1.0.2zf で修正されました (1.0.2-1.0.2ze が影響を受けます)。(CVE-2022-2068)

  - AES-NI アセンブリ最適化実装を使用する 32 ビット x86 プラットフォームの AES OCB モードは、一部の状況でデータ全体を暗号化しません。これにより、書き込まれなかったメモリに既存の 16 バイトのデータが漏洩する可能性があります。インプレース暗号化の特別なケースでは、平文の 16 バイトが漏洩します。OpenSSL は、TLS および DTLS の OCB ベースの暗号化パッケージをサポートしていないため、どちらも影響を受けません。OpenSSL 3.0.5で修正されました (3.0.0-3.0.4 が影響を受けました)。OpenSSL 1.1.1q で修正されました (1.1.1-1.1.1p が影響を受けます)。(CVE-2022-2097)

  - 関数「OCSP_basic_verify」は、OCSP 応答で署名者証明書を検証します。(デフォルト以外の) フラグ OCSP_NOCHECKS が使用される場合、応答署名証明書が検証に失敗した場合でも、応答は正になります (検証が成功したことを意味します)。「OCSP_basic_verify」のほとんどのユーザーは、OCSP_NOCHECKS フラグを使用しないことが予想されます。この場合、証明書検証が失敗した場合、「OCSP_basic_verify」関数は負の値 (致命的なエラーを示す) を返します。この場合の通常の期待される戻り値は 0 です。この問題は、コマンドライン OpenSSL ocsp アプリケーションにも影響を与えます。-no_cert_checks オプションのある ocsp 応答を検証する際に、
    コマンドラインアプリケーションは、実際には失敗しているにもかかわらず、検証が成功していると報告します。この場合、間違いの正常な応答には、失敗を示し、明らかに成功した結果とは矛盾するエラーメッセージも付随します。OpenSSL 3.0.3 で修正されました (3.0.0、3.0.1、3.0.2 が影響を受けました)。(CVE-2022-1343)

  - ハッシュテーブルを空にする OPENSSL_LH_flush() 関数に、削除されたハッシュテーブルエントリによって占有されているメモリの再利用を破損させるバグが含まれています。この関数は、証明書またはキーをデコードするときに使用されます。長期間有効なプロセスが証明書またはキーを定期的にデコードすると、そのメモリ使用率が無制限に拡大し、オペレーティングシステムによってプロセスが終了され、サービス拒否が引き起こされる可能性があります。
    また、空のハッシュテーブルエントリをトラバースするのにさらに時間がかかるようになります。通常、このような長期間有効なプロセスは、クライアント証明書認証を受け入れるように構成された TLS クライアントまたは TLS サーバーです。この関数は OpenSSL 3.0バージョンに追加されたため、古いリリースはこの問題の影響を受けません。OpenSSL 3.0.3で修正されました (3.0.0、3.0.1、3.0.2 が影響を受けました)。(CVE-2022-1473)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの CentOS Linux 9 ホストに、openssl-3.0.7-18.el9 ビルド変更ログに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - OpenSSL の libssl は、内部的にクライアント側の X509_verify_cert() を呼び出して、サーバーから提供された証明書を検証します。この関数は、内部エラー (メモリ不足など) を示すために負の戻り値を返す可能性があります。このような負の戻り値は OpenSSL によって誤って処理され、IO 関数 (SSL_connect()またはSSL_do_handshake()など) が成功せず、その後の SSL_get_error() への呼び出しも実施されないため、SSL_ERROR_WANT_RETRY_VERIFY の値が返されます。この戻り値は、アプリケーションが以前に SSL_CTX_set_cert_verify_callback() を呼び出していた場合にのみ、OpenSSL によって返されることが想定されています。ほとんどのアプリケーションはこれを行わないため、SSL_GET_error() からの SSL_ERROR_WANT_RETRY_VERIFYの戻り値は完全に予期しないものになり、結果としてアプリケーションが正しく動作しない可能性があります。正確な動作はアプリケーションによって異なりますが、クラッシュ、無限ループ、またはその他の同様の不適切な応答を引き起こす可能性があります。
    この問題は、証明書チェーンを処理する際に X509_verify_cert() が内部エラーを表示する OpenSSL 3.0 の別のバグと組み合わせされた場合、さらに深刻になります。これは、証明書に Subject Alternative Name 拡張が含まれておらず、認証局が名前の制約を強制している場合に発生します。この問題は、有効なチェーンでも発生する可能性があります。2 つの問題を組み合わせると、攻撃者は不適切なアプリケーション依存の動作を引き起こす可能性があります。OpenSSL 3.0.1 (3.0.0 が影響を受けます) で修正されました。(CVE-2021-4044)

  - モジュラー平方根を計算する BN_mod_sqrt() 関数に、非素数の係数に対して永久にループするバグが含まれています。内部的に、この関数は圧縮形式の楕円曲線公開鍵または圧縮形式でエンコードされたベースポイントを持つ明示的な楕円曲線パラメーターを含む証明書を解析する際に使用されます。無効な明示的な曲線パラメーターを持つ証明書を作成することで、無限ループを発生させることが可能です。証明書の解析は、証明書の署名の検証前に行われるため、外部から提供された証明書を解析するプロセスは、サービス拒否攻撃を受ける可能性があります。細工された秘密鍵を解析する際に、明示的な楕円曲線パラメーターを含む可能性があるため、無限ループに達する可能性もあります。したがって、以下の脆弱な状況が含まれます。- サーバー証明書を消費する TLS クライアント - クライアント証明書を消費する TLS サーバー - 顧客から証明書または秘密鍵を取得するホスティングプロバイダー - サブスクライバーからの証明書リクエストを解析する認証局 - ASN.1 楕円曲線パラメーターを解析するその他のもの。攻撃者がパラメーター値をコントロールできる場合、BN_mod_sqrt() を使用するその他のアプリケーションは、この DoS の問題に対して脆弱です。OpenSSL 1.0.2バージョンでは、証明書の初期解析中に公開鍵が解析されないため、無限ループを発生させることがわずかに困難になります。ただし、証明書の公開鍵が必要な何らかの操作を行うと、無限ループが発生します。特に、攻撃者は自己署名証明書を使用して、証明書署名の検証中にループを発生させる可能性があります。OpenSSL バージョン、1.0.21.1.1および 3.0は、この問題の影響を受けます。これは 2022 年 3 月 15 日の 1.1.1n および 3.0.2のリリースで対処されました。OpenSSL 3.0.2で修正されました (3.0.0、3.0.1が影響を受けました)。OpenSSL 1.1.1n で修正されました (1.1.1-1.1.1m が影響を受けました)。OpenSSL 1.0.2zd で修正されました (1.0.2-1.0.2zc が影響を受けました)。(CVE-2022-0778)

  - c_rehash スクリプトでコマンドインジェクションが可能 (CVE-2022-1292)

  - OCSP_NOCHECKS を使用すると、署名者証明書の検証が不正確な応答を返します (CVE-2022-1343)

  - OPENSSL_LH_flush() がメモリの再利用を中断します (CVE-2022-1473)

  - c_rehash スクリプトでコマンドインジェクションが可能 (CVE-2022-2068)

  - AES OCB が 32-bit x86 で一部のバイトの暗号化に失敗します (CVE-2022-2097)

  - X.509 メールアドレスのバッファオーバーフロー (CVE-2022-3602、CVE-2022-3786)

  - X.509 証明書の検証、特に名前の制約のチェックで、読み取りバッファオーバーランが発生する可能性があります。これは証明書チェーン署名の検証後に発生し、信頼できる発行者へのパスを構築できないにもかかわらず、CA が悪意のある証明書に署名するか、アプリケーションが証明書の検証を続行する必要があることに注意してください。読み取りバッファオーバーランによりクラッシュが発生し、サービス拒否攻撃につながる可能性があります。理論的には、プライベートアドバイザリのコンテンツ (プライベートキーや機密の平文など) が漏洩する可能性もありますが、このアドバイザリのリリース時点では、メモリコンテンツの漏洩につながる悪用は機能していません。TLS クライアントでは、悪意のあるサーバーに接続することでこれが発生する可能性があります。TLS サーバーでは、サーバーがクライアント認証をリクエストし、悪意のあるクライアントが接続すると、これが発生する可能性があります。(CVE-2022-4203)

  - OpenSSL RSA Decryption 実装にタイミングベースのサイドチャネルが存在するため、Bleichenbacher スタイルの攻撃でネットワーク全体の平文を十分に復元できる可能性があります。復号化を成功させるためには、攻撃者が非常に多くの試行メッセージを復号化のために送信できる必要があります。
    この脆弱性は、すべての RSA パディングモードに影響します: PKCS#1 v1.5、RSA-OEAP および RSASVE。たとえば、TLS 接続では、暗号化されたプレマスターシークレットをサーバーに送信するために、RSA が一般的にクライアントによって使用されます。クライアントとサーバー間の真の接続を観察した攻撃者が、この欠陥を利用して、試行メッセージをサーバーに送信し、それらの処理にかかった時間を記録する可能性があります。十分な量のメッセージの後、攻撃者が元の接続に使用されていたプレマスターシークレットを復元し、その接続を介して送信されたアプリケーションデータを復号化できる可能性があります。(CVE-2022-4304)

  - 関数 PEM_read_bio_ex() が BIO から PEM ファイルを読み取り、名前 (例:
    CERTIFICATE)、任意のヘッダーデータおよびペイロードデータを解析およびデコードします。関数が成功した場合、name_out、header、および data 引数に、関連するデコード済みデータを含むバッファへのポインターが入力されます。
    呼び出し元には、これらのバッファを解放する責任があります。ペイロードデータが 0 バイトになる PEM ファイルを構築することが可能です。この場合、PEM_read_bio_ex() は失敗コードを返しますが、すでに解放されているバッファへのポインターがヘッダー引数に入力されます。呼び出し元もこのバッファを解放すると、二重解放が発生します。これはおそらくクラッシュにつながります。これを悪用して、解析用の悪質な PEM ファイルを提供し、サービス拒否攻撃を仕掛ける攻撃者が存在する可能性があります。PEM_read_bio() および PEM_read() 関数は、PEM_read_bio_ex() の単純なラッパーであるため、これらの関数も直接影響を受けます。これらの関数は、PEM_X509_INFO_read_bio_ex() や SSL_CTX_use_serverinfo_file() などのその他の多数の OpenSSL 関数からも間接的に呼び出されるため、やはり脆弱です。PEM_read_bio_ex() が失敗コードを返す場合、呼び出し側はヘッダー引数を解放しないため、これらの関数の一部の OpenSSL 内部使用は脆弱ではありません。これらの場所には、PEM_read_bio_TYPE() 関数や、OpenSSL 3.0で導入されたデコーダーが含められます。OpenSSL asn1parse コマンドラインアプリケーションも、この問題の影響を受けます。(CVE-2022-4450)

  - パブリック API 関数 BIO_new_NDEF は、BIO を介して ASN.1 データをストリーミングするために使用されるヘルパー関数です。これは、SMIME、CMS、および PKCS7 ストリーミング機能をサポートするために OpenSSL の内部で主に使用されますが、エンドユーザーのアプリケーションから直接呼び出されることもあります。関数は、呼び出し元から BIO を受け取り、その前に新しい BIO_f_asn1 フィルター BIO を追加して BIO チェーンを形成し、BIO チェーンの新しいヘッドを呼び出し元に返します。特定の状況で、たとえば CMS 受信者の公開鍵が無効な場合、新しいフィルター BIO が解放され、関数は失敗を示す NULL の結果を返します。ただし、この場合、BIO チェーンは適切にクリーンアップされず、呼び出し元によって渡された BIO は、以前に解放されたフィルター BIO への内部ポインターを依然として保持します。呼び出し元が BIO で BIO_pop() を呼び出し続けると、メモリ解放後使用 (Use After Free) が発生します。これはおそらくクラッシュにつながります。このシナリオは、内部関数 B64_write_ASN1() で直接発生します。このため、BIO_new_NDEF() が呼び出され、その後 BIO で BIO_pop() 呼び出される可能性があります。この内部関数は、パブリック API 関数 PEM_write_bio_ASN1_stream、PEM_write_bio_CMS_stream、PEM_write_bio_PKCS7_stream、SMIME_write_ASN1、SMIME_write_CMS および SMIME_write_PKCS7 によって順番に呼び出されます。これにより影響を受ける可能性があるその他のパブリック API 関数には、i2d_ASN1_bio_stream、BIO_new_CMS、BIO_new_PKCS7、i2d_CMS_bio_stream、i2d_PKCS7_bio_stream があります。OpenSSL cms および smime コマンドラインアプリケーションも同様に影響を受けます。(CVE-2023-0215)

  - アプリケーションが d2i_PKCS7()、d2i_PKCS7_bio() または d2i_PKCS7_fp() 関数で無効な形式の PKCS7 データをロードしようとする場合、読み取り時の無効なポインターデリファレンスが発生する可能性があります。逆参照の結果、アプリケーションがクラッシュし、サービス拒否攻撃が引き起こされる可能性があります。OpenSSL の TLS 実装はこの関数を呼び出しませんが、サードパーティアプリケーションが信頼できないデータでこれらの関数を呼び出す可能性があります。
    (CVE-2023-0216)

  - アプリケーションが EVP_PKEY_public_check() 関数によって無効な形式の DSA 公開鍵をチェックしようとする際に、読み取り時の無効なポインターデリファレンスが発生する可能性があります。このため、アプリケーションがクラッシュする可能性が高くなります。
    この関数は、信頼できないソースから提供された公開鍵で呼び出すことができるため、攻撃者がサービス拒否攻撃を引き起こす可能性があります。OpenSSL の TLS 実装はこの関数を呼び出しませんが、FIPS 140-3 などの標準によって課せられる追加のセキュリティ要件がある場合、アプリケーションがこの関数を呼び出す可能性があります。(CVE-2023-0217)

  - X.509 GeneralName 内の X.400 アドレス処理に関連する型の取り違えの脆弱性があります。
    X.400 アドレスは ASN1_STRING として解析されていましたが、GENERAL_NAME のパブリック構造体の定義で x400Address フィールドのタイプが ASN1_TYPE として不適切に指定されていました。このフィールドは、その後、OpenSSL 関数 GENERAL_NAME_cmp によって、ASN1_STRING ではなく ASN1_TYPE として解釈されます。CRL チェックが有効な場合 (アプリケーションが X509_V_FLAG_CRL_CHECK フラグを設定するなど)、この脆弱性により、攻撃者が任意のポインターを memcmp 呼び出しに渡し、メモリの内容を読み取ったり、サービス拒否を引き起こしたりする可能性があります。ほとんどの場合、攻撃者は証明書チェーンと CRL の両方を提供する必要があります。どちらも有効な署名を必要としません。攻撃者がこれらの入力の 1 つのみをコントロールする場合、他の入力には CRL 配布ポイントとして X.400 アドレスがすでに含められている必要がありますが、これはよくあることではありません。このため、この脆弱性の影響を受ける可能性が最も高いのは、ネットワークを介して CRL を取得するための独自の機能を実装しているアプリケーションのみです。(CVE-2023-0286)

  - PKCS7 signed または signedAndEnveloped データで署名が検証されている場合に、NULL ポインターが逆参照される可能性があります。署名に使用されるハッシュアルゴリズムが OpenSSL ライブラリに知られているものの、ハッシュアルゴリズムの実装が利用できない場合、ダイジェストの初期化は失敗します。初期化関数からの戻り値のチェックがないため、後でダイジェスト API の無効な使用につながり、クラッシュを引き起こす可能性が最も高くなります。アルゴリズムが使用できないのは、プロバイダーの FIPS が有効な設定を使用しているか、より一般的にはレガシープロバイダーをロードしていないことが原因です。
    PKCS7 データは、SMIME ライブラリ呼び出しと、タイムスタンプ (TS) ライブラリ呼び出しによっても処理されます。OpenSSL の TLS 実装はこれらの関数を呼び出しませんが、サードパーティアプリケーションが信頼できないデータの署名を検証するためにこれらの関数を呼び出すと、影響を受ける可能性があります。(CVE-2023-0401)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Ubuntu 18.04 LTS / 20.04 LTS / 21.10 / 22.04 LTS ホストには、USN-5402-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - c_rehash スクリプトはシェルのメタ文字を適切にサニタイズしておらず、コマンドインジェクションを防ぎません。このスクリプトは、一部のオペレーティングシステムによって、自動的に実行される方法で配布されます。このようなオペレーティングシステムでは、攻撃者がスクリプトの権限で任意のコマンドを実行する可能性があります。c_rehash スクリプトの使用は旧式と考えられており、OpenSSL rehash コマンドラインツールで置き換える必要があります。
    OpenSSL 3.0.3で修正されました (3.0.0、3.0.1、3.0.2 が影響を受けました)。OpenSSL 1.1.1o で修正されました (1.1.1-1.1.1n が影響を受けました)。
    OpenSSL 1.0.2ze で修正されました (1.0.2-1.0.2zd が影響を受けました)。(CVE-2022-1292)

  - 関数「OCSP_basic_verify」は、OCSP 応答で署名者証明書を検証します。(デフォルト以外の) フラグ OCSP_NOCHECKS が使用される場合、応答署名証明書が検証に失敗した場合でも、応答は正になります (検証が成功したことを意味します)。「OCSP_basic_verify」のほとんどのユーザーは、OCSP_NOCHECKS フラグを使用しないことが予想されます。この場合、証明書検証が失敗した場合、「OCSP_basic_verify」関数は負の値 (致命的なエラーを示す) を返します。この場合の通常の期待される戻り値は 0 です。この問題は、コマンドライン OpenSSL ocsp アプリケーションにも影響を与えます。-no_cert_checks オプションのある ocsp 応答を検証する際に、
    コマンドラインアプリケーションは、実際には失敗しているにもかかわらず、検証が成功していると報告します。この場合、間違いの正常な応答には、失敗を示し、明らかに成功した結果とは矛盾するエラーメッセージも付随します。OpenSSL 3.0.3で修正されました (3.0.0、3.0.1、3.0.2 が影響を受けました)。(CVE-2022-1343)

  - RC4-MD5 暗号スイートの OpenSSL 3.0実装が、AAD データを MAC キーとして不適切に使用します。
    これにより、MAC キーが自明に予測可能になります。攻撃者はこの問題を悪用し、中間者攻撃を実行して 1 つのエンドポイントから OpenSSL 3.0受信者に送信されるデータを変更することで、変更されたデータが MAC 整合性チェックにパスするようにする可能性があります。OpenSSL 3.0エンドポイントから非 OpenSSL 3.0エンドポイントに送信されたデータは、受信者によって常に拒否され、接続はその時点で失敗します。多くのアプリケーションプロトコルでは、最初にクライアントからサーバーにデータを送信する必要があります。
    したがって、このような場合、OpenSSL 3.0以外のクライアントと通信する際に影響を受けるのは、OpenSSL 3.0サーバーのみです。両方のエンドポイントが OpenSSL 3.0の場合、攻撃者は両方向に送信されているデータを変更する可能性があります。この場合、アプリケーションプロトコルに関係なく、クライアントとサーバーの両方が影響を受ける可能性があります。注意: 攻撃者が存在しない場合、このバグにより、OpenSSL 3.0以外のエンドポイントと通信する OpenSSL 3.0エンドポイントが、この暗号スイートの使用する場合、ハンドシェイクの完了に失敗します。データの機密性はこの問題の影響を受けません。つまり、攻撃者はこの暗号スイートを使用して暗号化されたデータを復号化できません。変更のみが可能です。この攻撃が機能するためには、両方のエンドポイントが RC4-MD5 暗号スイートを正当にネゴシエートする必要があります。この暗号スイートは、デフォルトでは OpenSSL 3.0でコンパイルされておらず、デフォルトのプロバイダーまたはデフォルトの暗号スイートリストでは利用できません。TLSv1.3 がネゴシエートされた場合、この暗号スイートは使用されません。OpenSSL 3.0エンドポイントがこの暗号スイートを使用するには、以下が発生している必要があります。1) OpenSSL は (デフォルトではない) コンパイル時間オプション enable-weak-ssl-ciphers でコンパイルされている必要があります。2) OpenSSL は (アプリケーションコードまたは構成を通じて) レガシープロバイダーを明示的にロードしている必要があります。3) 暗号スイートは暗号スイートリストに明示的に追加されている必要があります。4) libssl セキュリティレベルが 0 (デフォルトは 1) に設定されている必要があります。5) TLSv1.3 より前のバージョンの SSL/TLS がネゴシエートされている必要があります。6) 両方のエンドポイントは、両方のエンドポイントに共通する他のエンドポイントよりも優先して RC4-MD5 暗号スイートをネゴシエートする必要があります。OpenSSL 3.0.3で修正されました (3.0.0、3.0.1、3.0.2 が影響を受けました)。(CVE-2022-1434)

  - ハッシュテーブルを空にする OPENSSL_LH_flush() 関数に、削除されたハッシュテーブルエントリによって占有されているメモリの再利用を破損させるバグが含まれています。この関数は、証明書またはキーをデコードするときに使用されます。長期間有効なプロセスが証明書またはキーを定期的にデコードすると、そのメモリ使用率が無制限に拡大し、オペレーティングシステムによってプロセスが終了され、サービス拒否が引き起こされる可能性があります。
    また、空のハッシュテーブルエントリをトラバースするのにさらに時間がかかるようになります。通常、このような長期間有効なプロセスは、クライアント証明書認証を受け入れるように構成された TLS クライアントまたは TLS サーバーです。この関数は OpenSSL 3.0バージョンに追加されたため、古いリリースはこの問題の影響を受けません。OpenSSL 3.0.3で修正されました (3.0.0、3.0.1、3.0.2 が影響を受けました)。(CVE-2022-1473)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの AlmaLinux 9 ホストに、ALSA-2022:6224 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

したがって、ALAS2022-2022-195 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - CVE-2022-1292で特定された c_rehash シェルコマンドインジェクションに加えて、コマンドインジェクションを防止するために c_rehash スクリプトがシェルメタ文字を適切にサニタイズしていないという状況がコードレビューで見つかりました。CVE-2022-1292 が修正されたとき、ハッシュされている証明書のファイル名がシェルを介して実行されるコマンドに渡される可能性があるスクリプトに他の場所があるとは発見されませんでした。このスクリプトは、一部のオペレーティングシステムによって、自動的に実行される方法で配布されます。このようなオペレーティングシステムでは、攻撃者がスクリプトの権限で任意のコマンドを実行する可能性があります。c_rehash スクリプトの使用は旧式と考えられており、OpenSSL rehash コマンドラインツールで置き換える必要があります。OpenSSL 3.0.4 で修正されました (3.0.0、3.0.1、3.0.2、3.0.3 が影響を受けます)。OpenSSL 1.1.1p で修正されました (1.1.1-1.1.1o が影響を受けます)。OpenSSL 1.0.2zf で修正されました (1.0.2-1.0.2ze が影響を受けます)。(CVE-2022-2068)

  - AES-NI アセンブリ最適化実装を使用する 32 ビット x86 プラットフォームの AES OCB モードは、一部の状況でデータ全体を暗号化しません。これにより、書き込まれなかったメモリに既存の 16 バイトのデータが漏洩する可能性があります。インプレース暗号化の特別なケースでは、平文の 16 バイトが漏洩します。OpenSSL は、TLS および DTLS の OCB ベースの暗号化パッケージをサポートしていないため、どちらも影響を受けません。OpenSSL 3.0.5 で修正されました (3.0.0-3.0.4 が影響を受けました)。OpenSSL 1.1.1q で修正されました (1.1.1-1.1.1p が影響を受けます)。(CVE-2022-2097)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

したがって、ALAS2023-2023-051 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - モジュラー平方根を計算する BN_mod_sqrt() 関数に、非素数の係数に対して永久にループするバグが含まれています。内部的に、この関数は圧縮形式の楕円曲線公開鍵または圧縮形式でエンコードされたベースポイントを持つ明示的な楕円曲線パラメーターを含む証明書を解析する際に使用されます。無効な明示的な曲線パラメーターを持つ証明書を作成することで、無限ループを発生させることが可能です。証明書の解析は、証明書の署名の検証前に行われるため、外部から提供された証明書を解析するプロセスは、サービス拒否攻撃を受ける可能性があります。細工された秘密鍵を解析する際に、明示的な楕円曲線パラメーターを含む可能性があるため、無限ループに達する可能性もあります。したがって、以下の脆弱な状況が含まれます。- サーバー証明書を消費する TLS クライアント - クライアント証明書を消費する TLS サーバー - 顧客から証明書または秘密鍵を取得するホスティングプロバイダー - サブスクライバーからの証明書リクエストを解析する認証局 - ASN.1 楕円曲線パラメーターを解析するその他のもの。攻撃者がパラメーター値をコントロールできる場合、BN_mod_sqrt() を使用するその他のアプリケーションは、この DoS の問題に対して脆弱です。OpenSSL 1.0.2バージョンでは、証明書の初期解析中に公開鍵が解析されないため、無限ループを発生させることがわずかに困難になります。ただし、証明書の公開鍵が必要な何らかの操作を行うと、無限ループが発生します。特に、攻撃者は自己署名証明書を使用して、証明書署名の検証中にループを発生させる可能性があります。OpenSSL バージョン 1.0.2、1.1.1 および 3.0は、この問題の影響を受けます。これは 2022 年 3 月 15 日の 1.1.1n および 3.0.2のリリースで対処されました。OpenSSL 3.0.2で修正されました (3.0.0、3.0.1 が影響を受けました)。OpenSSL 1.1.1n で修正されました (1.1.1-1.1.1m が影響を受けました)。OpenSSL 1.0.2zd で修正されました (1.0.2-1.0.2zc が影響を受けました)。(CVE-2022-0778)

  - c_rehash スクリプトはシェルのメタ文字を適切にサニタイズしておらず、コマンドインジェクションを防ぎません。このスクリプトは、一部のオペレーティングシステムによって、自動的に実行される方法で配布されます。このようなオペレーティングシステムでは、攻撃者がスクリプトの権限で任意のコマンドを実行する可能性があります。c_rehash スクリプトの使用は旧式と考えられており、OpenSSL rehash コマンドラインツールで置き換える必要があります。
    OpenSSL 3.0.3で修正されました (3.0.0、3.0.1、3.0.2 が影響を受けました)。OpenSSL 1.1.1o で修正されました (1.1.1-1.1.1n が影響を受けました)。
    OpenSSL 1.0.2ze で修正されました (1.0.2-1.0.2zd が影響を受けました)。(CVE-2022-1292)

  - 関数「OCSP_basic_verify」は、OCSP 応答で署名者証明書を検証します。(デフォルト以外の) フラグ OCSP_NOCHECKS が使用される場合、応答署名証明書が検証に失敗した場合でも、応答は正になります (検証が成功したことを意味します)。「OCSP_basic_verify」のほとんどのユーザーは、OCSP_NOCHECKS フラグを使用しないことが予想されます。この場合、証明書検証が失敗した場合、「OCSP_basic_verify」関数は負の値 (致命的なエラーを示す) を返します。この場合の通常の期待される戻り値は 0 です。この問題は、コマンドライン OpenSSL ocsp アプリケーションにも影響を与えます。-no_cert_checks オプションのある ocsp 応答を検証する際に、
    コマンドラインアプリケーションは、実際には失敗しているにもかかわらず、検証が成功していると報告します。この場合、間違いの正常な応答には、失敗を示し、明らかに成功した結果とは矛盾するエラーメッセージも付随します。OpenSSL 3.0.3で修正されました (3.0.0、3.0.1、3.0.2 が影響を受けました)。(CVE-2022-1343)

  - RC4-MD5 暗号スイートの OpenSSL 3.0実装が、AAD データを MAC キーとして不適切に使用します。
    これにより、MAC キーが自明に予測可能になります。攻撃者はこの問題を悪用し、中間者攻撃を実行して 1 つのエンドポイントから OpenSSL 3.0受信者に送信されるデータを変更することで、変更されたデータが MAC 整合性チェックにパスするようにする可能性があります。OpenSSL 3.0エンドポイントから非 OpenSSL 3.0エンドポイントに送信されたデータは、受信者によって常に拒否され、接続はその時点で失敗します。多くのアプリケーションプロトコルでは、最初にクライアントからサーバーにデータを送信する必要があります。
    したがって、このような場合、OpenSSL 3.0以外のクライアントと通信する際に影響を受けるのは、OpenSSL 3.0サーバーのみです。両方のエンドポイントが OpenSSL 3.0の場合、攻撃者は両方向に送信されているデータを変更する可能性があります。この場合、アプリケーションプロトコルに関係なく、クライアントとサーバーの両方が影響を受ける可能性があります。注意: 攻撃者が存在しない場合、このバグにより、OpenSSL 3.0以外のエンドポイントと通信する OpenSSL 3.0エンドポイントが、この暗号スイートの使用する場合、ハンドシェイクの完了に失敗します。データの機密性はこの問題の影響を受けません。つまり、攻撃者はこの暗号スイートを使用して暗号化されたデータを復号化できません。変更のみが可能です。この攻撃が機能するためには、両方のエンドポイントが RC4-MD5 暗号スイートを正当にネゴシエートする必要があります。この暗号スイートは、デフォルトでは OpenSSL 3.0でコンパイルされておらず、デフォルトのプロバイダーまたはデフォルトの暗号スイートリストでは利用できません。TLSv1.3 がネゴシエートされた場合、この暗号スイートは使用されません。OpenSSL 3.0エンドポイントがこの暗号スイートを使用するには、以下が発生している必要があります。1) OpenSSL は (デフォルトではない) コンパイル時間オプション enable-weak-ssl-ciphers でコンパイルされている必要があります。2) OpenSSL は (アプリケーションコードまたは構成を通じて) レガシープロバイダーを明示的にロードしている必要があります。3) 暗号スイートは暗号スイートリストに明示的に追加されている必要があります。4) libssl セキュリティレベルが 0 (デフォルトは 1) に設定されている必要があります。5) TLSv1.3 より前のバージョンの SSL/TLS がネゴシエートされている必要があります。6) 両方のエンドポイントは、両方のエンドポイントに共通する他のエンドポイントよりも優先して RC4-MD5 暗号スイートをネゴシエートする必要があります。OpenSSL 3.0.3で修正されました (3.0.0、3.0.1、3.0.2 が影響を受けました)。(CVE-2022-1434)

  - ハッシュテーブルを空にする OPENSSL_LH_flush() 関数に、削除されたハッシュテーブルエントリによって占有されているメモリの再利用を破損させるバグが含まれています。この関数は、証明書またはキーをデコードするときに使用されます。長期間有効なプロセスが証明書またはキーを定期的にデコードすると、そのメモリ使用率が無制限に拡大し、オペレーティングシステムによってプロセスが終了され、サービス拒否が引き起こされる可能性があります。
    また、空のハッシュテーブルエントリをトラバースするのにさらに時間がかかるようになります。通常、このような長期間有効なプロセスは、クライアント証明書認証を受け入れるように構成された TLS クライアントまたは TLS サーバーです。この関数は OpenSSL 3.0バージョンに追加されたため、古いリリースはこの問題の影響を受けません。OpenSSL 3.0.3で修正されました (3.0.0、3.0.1、3.0.2 が影響を受けました)。(CVE-2022-1473)

  - CVE-2022-1292で特定された c_rehash シェルコマンドインジェクションに加えて、コマンドインジェクションを防止するために c_rehash スクリプトがシェルメタ文字を適切にサニタイズしていないという状況がコードレビューで見つかりました。CVE-2022-1292 が修正されたとき、ハッシュされている証明書のファイル名がシェルを介して実行されるコマンドに渡される可能性があるスクリプトに他の場所があるとは発見されませんでした。このスクリプトは、一部のオペレーティングシステムによって、自動的に実行される方法で配布されます。このようなオペレーティングシステムでは、攻撃者がスクリプトの権限で任意のコマンドを実行する可能性があります。c_rehash スクリプトの使用は旧式と考えられており、OpenSSL rehash コマンドラインツールで置き換える必要があります。OpenSSL 3.0.4で修正されました (3.0.0、3.0.1、3.0.2、3.0.3 が影響を受けます)。OpenSSL 1.1.1p で修正されました (1.1.1-1.1.1o が影響を受けます)。OpenSSL 1.0.2zf で修正されました (1.0.2-1.0.2ze が影響を受けます)。(CVE-2022-2068)

  - AES-NI アセンブリ最適化実装を使用する 32 ビット x86 プラットフォームの AES OCB モードは、一部の状況でデータ全体を暗号化しません。これにより、書き込まれなかったメモリに既存の 16 バイトのデータが漏洩する可能性があります。インプレース暗号化の特別なケースでは、平文の 16 バイトが漏洩します。OpenSSL は、TLS および DTLS の OCB ベースの暗号化パッケージをサポートしていないため、どちらも影響を受けません。OpenSSL 3.0.5で修正されました (3.0.0-3.0.4 が影響を受けました)。OpenSSL 1.1.1q で修正されました (1.1.1-1.1.1p が影響を受けます)。(CVE-2022-2097)

  - X.509 証明書の検証、特に名前の制約のチェックで、バッファオーバーランが発生する可能性があります。これは証明書チェーン署名の検証後に発生し、信頼できる発行者へのパスを構築できないにもかかわらず、CA が悪意のある証明書に署名するか、アプリケーションが証明書の検証を続行する必要があることに注意してください。攻撃者は、悪意のあるメールアドレスを細工して、攻撃者が制御する 4 バイトをスタックでオーバーフローさせる可能性があります。このバッファオーバーフローにより、クラッシュが発生したり (サービス拒否が引き起こされます)、リモートコード実行が発生したりする可能性があります。多くのプラットフォームは、リモートコード実行のリスクを軽減するスタックオーバーフロー保護を実装しています。任意のプラットフォーム / コンパイラのスタックレイアウトに基づいて、リスクがさらに緩和される可能性があります。CVE-2022-3602 のプレアナウンスでは、この問題を「重要度最高」と説明しています。上記の緩和要因のいくつかに基づくさらなる分析により、これは「重要度高」にダウングレードされています。ユーザーには、依然として新しいバージョンへ至急アップグレードすることが推奨されています。TLS クライアントでは、悪意のあるサーバーに接続することでこれが発生する可能性があります。
    TLS サーバーでは、サーバーがクライアント認証をリクエストし、悪意のあるクライアントが接続すると、これが発生する可能性があります。OpenSSL 3.0.7で修正されました (3.0.0、3.0.1、3.0.2、3.0.3、3.0.4、3.0.5、3.0.6 が影響を受けました)。(CVE-2022-3602)

  - X.509 証明書の検証、特に名前の制約のチェックで、バッファオーバーランが発生する可能性があります。これは証明書チェーン署名の検証後に発生し、信頼できる発行者へのパスを構築できないにもかかわらず、CA が悪意のある証明書に署名するか、アプリケーションが証明書の検証を続行する必要があることに注意してください。攻撃者は、証明書の悪意のあるメールアドレスを細工し、スタック上の「。」文字 (10 進数の 46) を含む任意のバイト数をオーバーフローさせる可能性があります。このバッファオーバーフローにより、クラッシュが発生する可能性があります (サービス拒否が引き起こされます)。TLS クライアントでは、悪意のあるサーバーに接続することでこれが発生する可能性があります。TLS サーバーでは、サーバーがクライアント認証をリクエストし、悪意のあるクライアントが接続すると、これが発生する可能性があります。(CVE-2022-3786)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
160481	FreeBSD：OpenSSL -- 複数の脆弱性 (fceb2b08-cb76-11ec-a06f-d4c9ef517024)	Nessus	FreeBSD Local Security Checks	2022/5/4	2025/8/12	high
162965	SUSE SLED15 / SLES15 / openSUSE 15 セキュリティ更新: openssl-3 (SUSE-SU-2022:2306-1)	Nessus	SuSE Local Security Checks	2022/7/8	2025/9/4	high
164537	Oracle Linux 9: openssl (ELSA-2022-9751)	Nessus	Oracle Linux Local Security Checks	2022/8/31	2025/9/4	high
160473	OpenSSL 3.0.0< 3.0.3複数の脆弱性	Nessus	Web Servers	2022/5/3	2025/8/12	high
164507	RHEL 9: openssl (RHSA-2022: 6224)	Nessus	Red Hat Local Security Checks	2022/8/30	2025/9/4	high
164775	Amazon Linux 2022 : openssl (ALAS2022-2022-104)	Nessus	Amazon Linux Local Security Checks	2022/9/7	2025/8/12	high
164518	Oracle Linux 9 : openssl (ELSA-2022-6224)	Nessus	Oracle Linux Local Security Checks	2022/8/31	2025/9/4	high
193921	CentOS 9 : openssl-3.0.7-18.el9	Nessus	CentOS Local Security Checks	2024/4/26	2025/9/4	high
160502	Ubuntu 18.04 LTS / 20.04 LTS / 22.04 LTS : OpenSSL の脆弱性 (USN-5402-1)	Nessus	Ubuntu Local Security Checks	2022/5/4	2025/9/3	high
167697	AlmaLinux 9: openssl (ALSA-2022:6224)	Nessus	Alma Linux Local Security Checks	2022/11/16	2025/9/4	high
167019	Amazon Linux 2022 : (ALAS2022-2022-195)	Nessus	Amazon Linux Local Security Checks	2022/11/5	2025/9/4	high
173139	Amazon Linux 2023 : openssl、openssl-devel、openssl-libs (ALAS2023-2023-051)	Nessus	Amazon Linux Local Security Checks	2023/3/21	2025/9/4	high

検出

プラグインの検索

high

high

high

high

high

high

high

high

high

high

high

high