リモートの Fedora 40 ホストには、FEDORA-2025-becf280371 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

    3.2.4 へのリベース

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 ホストには、SUSE-SU-2025:02042-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - CVE-2025-27587ECDSA で使用する際の P-384 実装におけるタイミングサイドチャネルの脆弱性bsc#1243459。
    - RFC7250CVE-2024-12797認証されていないサーバーとのハンドシェイクが期待通りに中止されないことを修正しました。
    (bsc#1236599)
    - CVE-2024-13176ECDSA 署名計算でのタイミングサイドチャネルを修正しましたbsc#1236136

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 41 ホストには、FEDORA-2025-e0e44b1b98 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

    3.2.4 へリベースして、CVE-2024-12797 を修正

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Oracle Linux 9 ホストに、ELSA-2025-1330 のアドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

    [3.2.2-6.0.1.1]
    - openssl-fips-provider の依存関係を有効にします [Orabug: 36504822]
    - openssl-fips-provider の依存関係を一時的に無効にします [Orabug: 36504822]
    - Upstream 参照を置換します [Orabug: 34340177]

    [1:3.2.2-6.1]
    - RFC7250 認証されていないサーバーとのハンドシェイクが期待どおりに中止されない (CVE-2024-12797) 解決: RHEL-76755

Tenable は、前述の記述ブロックを Oracle Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされている FreeBSD のバージョンは、テスト済みバージョンより前です。したがって、a64761a1-e895-11ef-873e-8447094a420f のアドバイザリに記載されている脆弱性の影響を受けます。

    OpenSSL プロジェクトによる報告
    RFC7250 認証されていないサーバーとのハンドシェイクが期待どおりに中止されない (重要度高)。
                SSL_VERIFY_PEER 検証モードが設定されていると、ハンドシェイクが期待どおりに中止されないため、RFC7250 Raw 公開鍵 (RPK) を使用してサーバーを認証するクライアントは、サーバーが認証されなかったことに気付かない可能性があります。

Tenable は、前述の記述ブロックを FreeBSD セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Ubuntu 24.10ホストには、USN-7264-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    OpenSSL クライアントが RFC7250 Raw 公開鍵を使用する認証サーバーを不適切に処理していることが判明しました。状況によっては、接続が想定通りに中止されず、通信が傍受される可能性があります。(CVE-2024-12797)

    George Pantelakis 氏と Alicja Kario 氏は、OpenSSL が ECDSA 署名計算を実行するとき、タイミングサイドチャネルが存在することを発見しました。リモートの攻撃者がこの問題を悪用して、個人データを復元する可能性があります。
    (CVE-2024-13176)

    低レベルの GF(2^m) 楕円曲線 API を信頼できない体多項式の明示的な値とともに使用する場合に、OpenSSL が特定のメモリ操作を誤って処理していることが検出されました。この通常とは異なる方法で使用されると、リモートの攻撃者がこの問題を利用して OpenSSL をクラッシュさせ、サービス拒否を引き起こしたり、任意のコードを実行したりする可能性があります。(CVE-2024-9143)

Tenable は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストで実行されている Tenable Identity Exposure は、3.77.11 より前のバージョンです。そのため、アドバイザリ TNS-2025-07 によると、以下を含む複数の脆弱性による影響を受けます:

  - 問題のサマリー RFC7250 Raw Public KeysRPKを使用してサーバーを認証するクライアントは、サーバーが認証されなかったことに通知されない可能性があります。これは、SSL_VERIFY_PEER 検証モードが設定されている場合にハンドシェイクが正常に中止されないためです。影響のサマリー: 生の公開鍵を使用する TLS および DTLS 接続は、サーバー認証障害がクライアントによって検出されない場合、中間者攻撃に対して脆弱である可能性があります。RPKは、TLSクライアントとTLSサーバーの両方でデフォルトで無効になっています。この問題が発生するのは、TLS クライアントがサーバーによる RPK の使用を明示的に有効にしており、サーバーも同様に、X.509 証明書チェーンの代わりに RPK の送信を有効にしている場合のみです。影響を受けるクライアントは、サーバーのRPKが期待される公開鍵の1つと一致しないとき、検証モードをSSL_VERIFY_PEERに設定することで、ハンドシェイクに依存して失敗するクライアントです。サーバー側の未加工の公開鍵を有効にするクライアントは、 SSL_get_verify_result() の呼び出しによって未加工の公開鍵の検証が失敗したことを確認でき、適切なアクションを実行するクライアントは影響を受けません。この問題は、OpenSSL における RPK サポートの初期実装で導入されました 3.2。 3.4、 3.3、 3.2、 3.1 、 3.0 の FIPS モジュールは、この問題の影響を受けません。CVE-2024-12797

  問題サマリー: 秘密鍵の回復を可能にする可能性があるタイミングサイドチャネルが、ECDSA 署名計算に存在します。影響サマリー: ECDSA 署名計算におけるタイミングサイドチャネルにより、攻撃者が秘密鍵を復元できる可能性があります。ただし、タイミングを測定するには、署名アプリケーションへのローカルアクセスか、低遅延で非常に高速なネットワーク接続が必要です。反転された ECDSA nonce 値のトップワードがゼロの場合、約 300 ナノ秒のタイミング信号があります。これは、サポートされている楕円曲線の一部でのみ、かなりの確率で発生する可能性があります。特に、NIST P-521 曲線が影響を受けます。この漏洩を測定するには、攻撃者のプロセスが同じ物理コンピューター内に存在するか、低遅延で非常に高速なネットワーク接続を使用している必要があります。そのため、この脆弱性の深刻度は [低] です。3.4、3.3、3.2、3.1、および 3.0 の FIPS モジュールは、この問題の影響を受けます。(CVE-2024-13176)

  - Erlang/OTP は、Erlang プログラミング言語用のライブラリのセットです。OTP-27.3.3、OTP-26.2.5.11、OTP-25.3.2.20 より前のバージョンでは、SSH サーバーにおいて、攻撃者が認証されていないリモートコード実行 (RCE) を実行できる可能性があります。悪意のある攻撃者が、SSH プロトコルメッセージ処理の欠陥を悪用して、影響を受けるシステムへの認証されていないアクセスを取得し、有効な認証情報なしに任意のコマンドを実行する可能性があります。この問題は、バージョン OTP-27.3.3、OTP-26.2.5.11、OTP-25.3.2.20 で修正されています。一時的な回避策には、SSHサーバーを無効にするか、ファイアウォールルールを介してアクセスを防ぐことが含まれます。CVE-2025-32433

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモート RockyLinux 9 ホストに、RLSA-2025:1330 アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

     * openssl: RFC7250 認証されていないサーバーとのハンドシェイクが期待どおりに中止されない (CVE-2024-12797)

Tenable は、前述の記述ブロックを RockyLinux セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモート Redhat Enterprise Linux 9 ホストに、RHSA-2025:1330 アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

    OpenSSL は、SSL (Secure Sockets Layer) プロトコルおよび TLS (Transport Layer Security) プロトコル、全強度の汎用暗号ライブラリを実装するツールキットです。

    セキュリティ修正プログラム:

    * openssl: RFC7250 認証されていないサーバーとのハンドシェイクが期待どおりに中止されない (CVE-2024-12797)

    影響、CVSS スコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されている CVE のページを参照してください。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートのAlmaLinux 9ホストには、ALSA-2025:1330アドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

     * openssl: RFC7250 認証されていないサーバーとのハンドシェイクが期待どおりに中止されない (CVE-2024-12797)

Tenableは、前述の記述ブロックをAlmaLinuxセキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモート Azure Linux 3.0 ホストにインストールされている cloud-hypervisor-cvm/openssl のバージョンは、 より前です。
したがって、CVE-2024-12797 のアドバイザリに記載されている脆弱性の影響を受けます。

  - 問題のサマリー RFC7250 未加工の公開鍵RPKを使用してサーバーを認証するクライアントは、サーバーが認証されなかったことに通知されないことがあります。これは、SSL_VERIFY_PEER 検証モードが設定されている場合にハンドシェイクが正常に中止されないためです。影響のサマリー: 生の公開鍵を使用する TLS および DTLS 接続は、サーバー認証障害がクライアントによって検出されない場合に、中間者攻撃に対して脆弱である可能性があります。RPKは、TLSクライアントとTLSサーバーの両方でデフォルトで無効になっています。この問題が発生するのは、TLS クライアントがサーバーによる RPK の使用を明示的に有効にしており、サーバーも同様に、X.509 証明書チェーンの代わりに RPK の送信を有効にしている場合のみです。影響を受けるクライアントは、サーバーのRPKが期待される公開鍵の1つと一致しないとき、検証モードをSSL_VERIFY_PEERに設定することで、ハンドシェイクに依存して失敗するクライアントです。サーバー側の未加工の公開鍵を有効にするクライアントは、 SSL_get_verify_result() の呼び出しによって未加工の公開鍵の検証が失敗したことを確認でき、適切なアクションを実行するクライアントは影響を受けません。この問題は、OpenSSL における RPK サポートの初期実装で導入されました 3.2。 3.4、 3.3、 3.2、 3.1 、 3.0 の FIPS モジュールは、この問題の影響を受けません。CVE-2024-12797

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
216838	Fedora 40 : openssl (2025-becf280371)	Nessus	Fedora Local Security Checks	2025/2/26	2025/5/23	medium
240596	SUSE SLED15 / SLES15 セキュリティ更新 openssl-3SUSE-SU-2025:02042-1	Nessus	SuSE Local Security Checks	2025/6/26	2025/6/26	medium
216257	Fedora 41: openssl (2025-e0e44b1b98)	Nessus	Fedora Local Security Checks	2025/2/14	2025/5/23	medium
216215	Oracle Linux 9 : openssl (ELSA-2025-1330)	Nessus	Oracle Linux Local Security Checks	2025/2/12	2025/9/11	medium
216145	FreeBSD : OpenSSL -- 中間者攻撃の脆弱性 (a64761a1-e895-11ef-873e-8447094a420f)	Nessus	FreeBSD Local Security Checks	2025/2/12	2025/5/23	medium
216159	Ubuntu 24.10 : OpenSSL の脆弱性 (USN-7264-1)	Nessus	Ubuntu Local Security Checks	2025/2/12	2025/5/23	high
235471	Tenable Identity Exposure < 3.77.11 の複数の脆弱性 (TNS-2025-07)	Nessus	Windows	2025/5/7	2025/6/9	critical
232947	RockyLinux 9 : openssl (RLSA-2025:1330)	Nessus	Rocky Linux Local Security Checks	2025/3/19	2025/3/19	medium
216104	RHEL 9: openssl (RHSA-2025:1330)	Nessus	Red Hat Local Security Checks	2025/2/11	2025/6/5	medium
216246	AlmaLinux 9opensslALSA-2025:1330	Nessus	Alma Linux Local Security Checks	2025/2/13	2025/5/23	medium
216786	Azure Linux 3.0 セキュリティ更新cloud-hypervisor-cvm / opensslCVE-2024-12797]	Nessus	Azure Linux Local Security Checks	2025/2/25	2025/9/15	medium

検出

プラグインの検索

medium

medium

medium

medium

medium

high

critical

medium

medium

medium

medium