バナーによると、リモートサーバーで 0.9.8f より前のバージョンの OpenSSL が実行されています。それ自体が、次の脆弱性の影響を受けます：

  - ローカルの攻撃者は、モンゴメリ乗算コードに対してサイドチャネル攻撃を実行し、RSA 秘密鍵を取得することがあります。これはラボ環境の外では悪用されたことがないことに注意してください。（CVE-2007-3108）

  - リモートの攻撃者が、DTLSの実装でoff-by-oneエラーを悪用することにより、任意のコードを実行する可能性があります。（CVE-2007-4995）

OpenSSL は、Secure Sockets Layer（SSL v2/v3）および Transport Layer Security（TLS v1）プロトコル、ならびに全強度の汎用暗号化ライブラリを実装するツールキットです。Datagram TLS （DTLS）は、データグラム転送（たとえば UDP）をセキュアに行うことができる TLS に基づいたプロトコルです。

OpenSSL セキュリティチームは DTLS サポートの欠陥を発見しました。攻撃者は、ヒープオーバーフローを発生させられる悪意のあるクライアントまたはサーバーを作成することができます。場合によっては、これを悪用して任意のコードを実行できますが、検証はまだされていません（CVE-2007-5135）。注意：この欠陥は DTLS を使用しているアプリケーションにのみ影響を与えます。Scientific Linux では、DTLS クライアントまたはサーバーアプリケーションを出荷しません。

SSL_get_shared_ciphers() ユーティリティ関数に欠陥が見つかりました。攻撃者が、この関数を使用したアプリケーションに暗号リストを送信し、単一バイトでバッファをオーバーランする可能性があります（CVE-2007-4995）。この脆弱な関数を使用しているアプリケーションはほとんどなく、一般にこの関数はデバッグのためにアプリケーションをコンパイルする時にのみ使用されます。

多くのサイドチャネル攻撃の可能性が OpenSSL に影響を及ぼしていることを発見しました。ローカルの攻撃者は場合によって、システムで使用されている RSA 秘密鍵を取得することができます。実際には、ラボ環境以外でこうした攻撃を実行するのは困難です。この更新には、これらの問題を緩和するバックポートされたパッチが含まれています。（CVE-2007-3108）。

OpenSSL のユーザーは、これらの問題を解決するバックポートされたパッチを含む、更新済みのこれらのパッケージにアップグレードする必要があります。

DTLS 欠陥の修正には、新しいクライアントを古いサーバーと一緒に使用した場合に非互換性を引き起こす DTLS ハンドシェイク処理のオーバーホールが関係していますので、注意してください。

この更新をインストールした後で、ユーザーは OpenSSL を使用するすべてのサービスを再起動するか、システムを再起動することが推奨されます。

リモートホストが GLSA-201412-11 で説明されている脆弱性の影響を受けます（AMD64 x86 エミュレーションベースライブラリ：複数の脆弱性）

AMD64 x86 エミュレーションベースライブラリに複数の脆弱性が発見されました。詳細については、以下で参照されている CVE 識別子をレビューしてください。
 影響：

コンテキスト依存の攻撃者が、任意のコードの実行やサービス拒否状態を引き起こしたり、機密情報を取得したりする可能性があります。
 回避策：

現時点で、既知の回避策はありません。

複数のセキュリティ上の問題を修正する更新済みの OpenSSL パッケージが、 Red Hat Enterprise Linux 5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新に重大なセキュリティインパクトがあると評価しています。

OpenSSL は、Secure Sockets Layer（SSL v2/v3）および Transport Layer Security（TLS v1）プロトコル、ならびに全強度の汎用暗号化ライブラリを実装するツールキットです。Datagram TLS （DTLS）は、データグラム転送（たとえば UDP）をセキュアに行うことができる TLS に基づいたプロトコルです。

OpenSSL セキュリティチームは DTLS サポートの欠陥を発見しました。攻撃者は、ヒープオーバーフローを発生させられる悪意のあるクライアントまたはサーバーを作成することができます。場合によっては、これを悪用して任意のコードを実行できますが、検証はまだされていません（CVE-2007-4995）。注意：この欠陥は DTLS を使用しているアプリケーションにのみ影響を与えます。Red Hat では、 Red Hat Enterprise Linux の DTLS クライアント/サーバーアプリケーションは提供しておりません。

SSL_get_shared_ciphers() ユーティリティ関数に欠陥が見つかりました。攻撃者が、この関数を使用したアプリケーションに暗号リストを送信し、単一バイトでバッファをオーバーランする可能性があります（CVE-2007-5135）。この脆弱な関数を使用しているアプリケーションはほとんどなく、一般にこの関数はデバッグのためにアプリケーションをコンパイルする時にのみ使用されます。

多くのサイドチャネル攻撃の可能性が OpenSSL に影響を及ぼしていることを発見しました。ローカルの攻撃者は場合によって、システムで使用されている RSA 秘密鍵を取得することができます。実際には、ラボ環境以外でこうした攻撃を実行するのは困難です。この更新には、これらの問題を緩和するバックポートされたパッチが含まれています。（CVE-2007-3108）。

OpenSSL のユーザーは、これらの問題を解決するバックポートされたパッチを含む、更新済みのこれらのパッケージにアップグレードする必要があります。

DTLS 欠陥の修正には、新しいクライアントを古いサーバーと一緒に使用した場合に非互換性を引き起こす DTLS ハンドシェイク処理のオーバーホールが関係していますので、注意してください。

この更新をインストールした後で、ユーザーは OpenSSL を使用するすべてのサービスを再起動するか、システムを再起動することが推奨されます。

Red Hat セキュリティアドバイザリ 2007:0964 から：

複数のセキュリティ上の問題を修正する更新済みの OpenSSL パッケージが、 Red Hat Enterprise Linux 5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新に重大なセキュリティインパクトがあると評価しています。

OpenSSL は、Secure Sockets Layer（SSL v2/v3）および Transport Layer Security（TLS v1）プロトコル、ならびに全強度の汎用暗号化ライブラリを実装するツールキットです。Datagram TLS （DTLS）は、データグラム転送（たとえば UDP）をセキュアに行うことができる TLS に基づいたプロトコルです。

OpenSSL セキュリティチームは DTLS サポートの欠陥を発見しました。攻撃者は、ヒープオーバーフローを発生させられる悪意のあるクライアントまたはサーバーを作成することができます。場合によっては、これを悪用して任意のコードを実行できますが、検証はまだされていません（CVE-2007-4995）。注意：この欠陥は DTLS を使用しているアプリケーションにのみ影響を与えます。Red Hat では、 Red Hat Enterprise Linux の DTLS クライアント/サーバーアプリケーションは提供しておりません。

SSL_get_shared_ciphers() ユーティリティ関数に欠陥が見つかりました。攻撃者が、この関数を使用したアプリケーションに暗号リストを送信し、単一バイトでバッファをオーバーランする可能性があります（CVE-2007-5135）。この脆弱な関数を使用しているアプリケーションはほとんどなく、一般にこの関数はデバッグのためにアプリケーションをコンパイルする時にのみ使用されます。

多くのサイドチャネル攻撃の可能性が OpenSSL に影響を及ぼしていることを発見しました。ローカルの攻撃者は場合によって、システムで使用されている RSA 秘密鍵を取得することができます。実際には、ラボ環境以外でこうした攻撃を実行するのは困難です。この更新には、これらの問題を緩和するバックポートされたパッチが含まれています。（CVE-2007-3108）。

OpenSSL のユーザーは、これらの問題を解決するバックポートされたパッチを含む、更新済みのこれらのパッケージにアップグレードする必要があります。

DTLS 欠陥の修正には、新しいクライアントを古いサーバーと一緒に使用した場合に非互換性を引き起こす DTLS ハンドシェイク処理のオーバーホールが関係していますので、注意してください。

この更新をインストールした後で、ユーザーは OpenSSL を使用するすべてのサービスを再起動するか、システムを再起動することが推奨されます。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
17760	OpenSSL < 0.9.8fの複数の脆弱性	Nessus	Web Servers	2012/1/4	2023/8/22	high
60267	Scientific Linux セキュリティ更新：SL5.x i386/x86_64 の openssl	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	high
79964	GLSA-201412-11：AMD64 x86 エミュレーションベースライブラリ：複数の脆弱性（Heartbleed）	Nessus	Gentoo Local Security Checks	2014/12/15	2022/5/5	critical
43658	CentOS 5：openssl（CESA-2007:0964）	Nessus	CentOS Local Security Checks	2010/1/6	2021/1/4	high
67585	Oracle Linux 5：openssl（ELSA-2007-0964）	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	high

検出

プラグインの検索

high

high

critical

high

high