SunOS 5.10：libssl パッチ。
Sun によるこのパッチの最終更新日：Apr/23/07

Red Hat セキュリティアドバイザリ 2007:0813 から：

セキュリティ問題を修正する更新済みの OpenSSL パッケージが、Red Hat Enterprise Linux 2.1 および 3 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新は重要度中のセキュリティ影響があると評価しています。

OpenSSL は、Secure Sockets Layer（SSL v2/v3）および Transport Layer Security（TLS v1）プロトコル、ならびに全強度の汎用暗号化ライブラリを実装するツールキットです。

SSL_get_shared_ciphers() ユーティリティ関数に欠陥が見つかりました。攻撃者が、この関数を使用したアプリケーションに暗号リストを送信し、単一バイトでバッファをオーバーランする可能性があります（CVE-2007-5135）。この脆弱な関数を使用しているアプリケーションはほとんどなく、一般にこの関数はデバッグのためにアプリケーションをコンパイルする時にのみ使用されます。

多くのサイドチャネル攻撃の可能性が OpenSSL に影響を及ぼしていることを発見しました。ローカルの攻撃者は場合によって、システムで使用されている RSA 秘密鍵を取得することができます。実際には、ラボ環境以外でこうした攻撃を実行するのは困難です。この更新には、これらの問題を緩和するバックポートされたパッチが含まれています。（CVE-2007-3108）。

OpenSSL のユーザーは、これらの問題を解決するバックポートされたパッチを含む、更新済みのこれらのパッケージにアップグレードする必要があります。

注：この更新をインストールした後、ユーザーは OpenSSL を使用するすべてのサービスを再起動するか、システムを再起動することをお勧めします。

リモートホストが GLSA-201412-11 で説明されている脆弱性の影響を受けます（AMD64 x86 エミュレーションベースライブラリ：複数の脆弱性）

AMD64 x86 エミュレーションベースライブラリに複数の脆弱性が発見されました。詳細については、以下で参照されている CVE 識別子をレビューしてください。
 影響：

コンテキスト依存の攻撃者が、任意のコードの実行やサービス拒否状態を引き起こしたり、機密情報を取得したりする可能性があります。
 回避策：

現時点で、既知の回避策はありません。

SSL_get_shared_ciphers() ユーティリティ関数に欠陥が見つかりました。攻撃者が、この関数を使用しているアプリケーションに暗号のリストを送信し、バッファを 1 バイトだけオーバーランさせる可能性があります（CVE-2007-5135）。この脆弱な関数を使用しているアプリケーションはほとんどなく、一般にこの関数はデバッグのためにアプリケーションをコンパイルする時にのみ使用されます。

多くのサイドチャネル攻撃の可能性が OpenSSL に影響を及ぼしていることを発見しました。ローカルの攻撃者は場合によって、システムで使用されている RSA 秘密鍵を取得することができます。実際には、ラボ環境以外でこうした攻撃を実行するのは困難です。この更新には、これらの問題を緩和するためのバックポートされたパッチが含まれています。（CVE-2007-3108）

これらの更新済みパッケージでは、次のバグも修正しています。

- マルチスレッドアプリケーションは、同時に多数のスレッドに対して OpenSSL ライブラリの乱数発生器初期化（RAND_poll）を呼び出すと、セグメンテーション違反またはデッドロックを引き起こす可能性があります。

- 特定の状況下では、OpenSSL ライブラリを使用するアプリケーションが多目的 SSL セッションキャッシュを（SSL プロトコルの様々なパラメーターで）再使用した場合、セッションパラメーターが一致しない可能性があります。

- [pkcs12-file] が pkcs12 ファイルである場合、破損した pkcs12 ファイルが「openssl pkcs12 -in [pkcs12-file]」コマンドを使用してロードされると、セグメンテーション違反が起こる可能性があります。

複数のセキュリティ上の問題を修正する更新済みの OpenSSL パッケージが、 Red Hat Enterprise Linux 5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新に重大なセキュリティインパクトがあると評価しています。

OpenSSL は、Secure Sockets Layer（SSL v2/v3）および Transport Layer Security（TLS v1）プロトコル、ならびに全強度の汎用暗号化ライブラリを実装するツールキットです。Datagram TLS （DTLS）は、データグラム転送（たとえば UDP）をセキュアに行うことができる TLS に基づいたプロトコルです。

OpenSSL セキュリティチームは DTLS サポートの欠陥を発見しました。攻撃者は、ヒープオーバーフローを発生させられる悪意のあるクライアントまたはサーバーを作成することができます。場合によっては、これを悪用して任意のコードを実行できますが、検証はまだされていません（CVE-2007-4995）。注意：この欠陥は DTLS を使用しているアプリケーションにのみ影響を与えます。Red Hat では、 Red Hat Enterprise Linux の DTLS クライアント/サーバーアプリケーションは提供しておりません。

SSL_get_shared_ciphers() ユーティリティ関数に欠陥が見つかりました。攻撃者が、この関数を使用したアプリケーションに暗号リストを送信し、単一バイトでバッファをオーバーランする可能性があります（CVE-2007-5135）。この脆弱な関数を使用しているアプリケーションはほとんどなく、一般にこの関数はデバッグのためにアプリケーションをコンパイルする時にのみ使用されます。

多くのサイドチャネル攻撃の可能性が OpenSSL に影響を及ぼしていることを発見しました。ローカルの攻撃者は場合によって、システムで使用されている RSA 秘密鍵を取得することができます。実際には、ラボ環境以外でこうした攻撃を実行するのは困難です。この更新には、これらの問題を緩和するバックポートされたパッチが含まれています。（CVE-2007-3108）。

OpenSSL のユーザーは、これらの問題を解決するバックポートされたパッチを含む、更新済みのこれらのパッケージにアップグレードする必要があります。

DTLS 欠陥の修正には、新しいクライアントを古いサーバーと一緒に使用した場合に非互換性を引き起こす DTLS ハンドシェイク処理のオーバーホールが関係していますので、注意してください。

この更新をインストールした後で、ユーザーは OpenSSL を使用するすべてのサービスを再起動するか、システムを再起動することが推奨されます。

Red Hat セキュリティアドバイザリ 2007:0964 から：

複数のセキュリティ上の問題を修正する更新済みの OpenSSL パッケージが、 Red Hat Enterprise Linux 5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新に重大なセキュリティインパクトがあると評価しています。

OpenSSL は、Secure Sockets Layer（SSL v2/v3）および Transport Layer Security（TLS v1）プロトコル、ならびに全強度の汎用暗号化ライブラリを実装するツールキットです。Datagram TLS （DTLS）は、データグラム転送（たとえば UDP）をセキュアに行うことができる TLS に基づいたプロトコルです。

OpenSSL セキュリティチームは DTLS サポートの欠陥を発見しました。攻撃者は、ヒープオーバーフローを発生させられる悪意のあるクライアントまたはサーバーを作成することができます。場合によっては、これを悪用して任意のコードを実行できますが、検証はまだされていません（CVE-2007-4995）。注意：この欠陥は DTLS を使用しているアプリケーションにのみ影響を与えます。Red Hat では、 Red Hat Enterprise Linux の DTLS クライアント/サーバーアプリケーションは提供しておりません。

SSL_get_shared_ciphers() ユーティリティ関数に欠陥が見つかりました。攻撃者が、この関数を使用したアプリケーションに暗号リストを送信し、単一バイトでバッファをオーバーランする可能性があります（CVE-2007-5135）。この脆弱な関数を使用しているアプリケーションはほとんどなく、一般にこの関数はデバッグのためにアプリケーションをコンパイルする時にのみ使用されます。

多くのサイドチャネル攻撃の可能性が OpenSSL に影響を及ぼしていることを発見しました。ローカルの攻撃者は場合によって、システムで使用されている RSA 秘密鍵を取得することができます。実際には、ラボ環境以外でこうした攻撃を実行するのは困難です。この更新には、これらの問題を緩和するバックポートされたパッチが含まれています。（CVE-2007-3108）。

OpenSSL のユーザーは、これらの問題を解決するバックポートされたパッチを含む、更新済みのこれらのパッケージにアップグレードする必要があります。

DTLS 欠陥の修正には、新しいクライアントを古いサーバーと一緒に使用した場合に非互換性を引き起こす DTLS ハンドシェイク処理のオーバーホールが関係していますので、注意してください。

この更新をインストールした後で、ユーザーは OpenSSL を使用するすべてのサービスを再起動するか、システムを再起動することが推奨されます。

SunOS 5.10_x86：libssl パッチ。
Sun によるこのパッチの最終更新日：Apr/23/07

OpenSSL は、Secure Sockets Layer（SSL v2/v3）および Transport Layer Security（TLS v1）プロトコル、ならびに全強度の汎用暗号化ライブラリを実装するツールキットです。Datagram TLS （DTLS）は、データグラム転送（たとえば UDP）をセキュアに行うことができる TLS に基づいたプロトコルです。

OpenSSL セキュリティチームは DTLS サポートの欠陥を発見しました。攻撃者は、ヒープオーバーフローを発生させられる悪意のあるクライアントまたはサーバーを作成することができます。場合によっては、これを悪用して任意のコードを実行できますが、検証はまだされていません（CVE-2007-5135）。注意：この欠陥は DTLS を使用しているアプリケーションにのみ影響を与えます。Scientific Linux では、DTLS クライアントまたはサーバーアプリケーションを出荷しません。

SSL_get_shared_ciphers() ユーティリティ関数に欠陥が見つかりました。攻撃者が、この関数を使用したアプリケーションに暗号リストを送信し、単一バイトでバッファをオーバーランする可能性があります（CVE-2007-4995）。この脆弱な関数を使用しているアプリケーションはほとんどなく、一般にこの関数はデバッグのためにアプリケーションをコンパイルする時にのみ使用されます。

多くのサイドチャネル攻撃の可能性が OpenSSL に影響を及ぼしていることを発見しました。ローカルの攻撃者は場合によって、システムで使用されている RSA 秘密鍵を取得することができます。実際には、ラボ環境以外でこうした攻撃を実行するのは困難です。この更新には、これらの問題を緩和するバックポートされたパッチが含まれています。（CVE-2007-3108）。

OpenSSL のユーザーは、これらの問題を解決するバックポートされたパッチを含む、更新済みのこれらのパッケージにアップグレードする必要があります。

DTLS 欠陥の修正には、新しいクライアントを古いサーバーと一緒に使用した場合に非互換性を引き起こす DTLS ハンドシェイク処理のオーバーホールが関係していますので、注意してください。

この更新をインストールした後で、ユーザーは OpenSSL を使用するすべてのサービスを再起動するか、システムを再起動することが推奨されます。

SSL_get_shared_ciphers() ユーティリティ関数に欠陥が見つかりました。攻撃者が、この関数を使用したアプリケーションに暗号リストを送信し、単一バイトでバッファをオーバーランする可能性があります（CVE-2007-5135）。この脆弱な関数を使用しているアプリケーションはほとんどなく、一般にこの関数はデバッグのためにアプリケーションをコンパイルする時にのみ使用されます。

多くのサイドチャネル攻撃の可能性が OpenSSL に影響を及ぼしていることを発見しました。ローカルの攻撃者は場合によって、システムで使用されている RSA 秘密鍵を取得することができます。実際には、ラボ環境以外でこうした攻撃を実行するのは困難です。この更新には、これらの問題を緩和するバックポートされたパッチが含まれています。（CVE-2007-3108）。

注：この更新をインストールした後、ユーザーは OpenSSL を使用するすべてのサービスを再起動するか、システムを再起動することをお勧めします。

セキュリティの問題とさまざまなバグを修正する更新済みの OpenSSL パッケージが、Red Hat Enterprise Linux 4 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新は重要度中のセキュリティ影響があると評価しています。

OpenSSL は、Secure Sockets Layer（SSL v2/v3）および Transport Layer Security（TLS v1）プロトコルを実装するツールキットであり、全強度の汎用暗号化ライブラリです。

SSL_get_shared_ciphers() ユーティリティ関数に欠陥が見つかりました。攻撃者が、この関数を使用しているアプリケーションに暗号のリストを送信し、バッファを 1 バイトだけオーバーランさせる可能性があります（CVE-2007-5135）。この脆弱な関数を使用しているアプリケーションはほとんどなく、一般にこの関数はデバッグのためにアプリケーションをコンパイルする時にのみ使用されます。

多くのサイドチャネル攻撃の可能性が OpenSSL に影響を及ぼしていることを発見しました。ローカルの攻撃者は場合によって、システムで使用されている RSA 秘密鍵を取得することができます。実際には、ラボ環境以外でこうした攻撃を実行するのは困難です。この更新には、これらの問題を緩和するためのバックポートされたパッチが含まれています。(CVE-2007-3108)

これらの更新済みパッケージでは、次のバグも修正しています。

* マルチスレッドのアプリケーションは、同時に多数のスレッドについて OpenSSL ライブラリの乱数発生器初期化（RAND_poll）呼び出しを行うと、セグメンテーション違反あるいはデッドロックを引き起こす可能性があります。

* 特定の状況下では、OpenSSL ライブラリを使用するアプリケーションが多目的 SSL セッションキャッシュを（SSL プロトコルの様々なパラメーターで）再使用した場合、セッションパラメーターが一致しない可能性があります。

* [pkcs12-file] が pkcs12 ファイルである場合、破損した pkcs12 ファイルが　「openssl pkcs12 -in [pkcs12-file]」コマンドを使用してロードされると、セグメンテーション違反が発生する可能性があります。

OpenSSL のユーザーは、これらの問題を解決するバックポートされたパッチを含む、更新済みのこれらのパッケージにアップグレードする必要があります。

注：この更新をインストールした後、ユーザーは OpenSSL を使用するすべてのサービスを再起動するか、システムを再起動することをお勧めします。

F5 Product Development は、BIG-IP および Enterprise Manager 製品が脆弱なバージョンの OpenSSL を使用しているが、この脆弱なコードは BIG-IP システム上の TMM または Apache のいずれにも使用されていないと判断しました。この脆弱性はローカルな脆弱性とみなされ、リモートでは悪用できません。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
107376	Solaris 10 (sparc) : 121229-02	Nessus	Solaris Local Security Checks	2018/3/12	2021/1/14	critical
67559	Oracle Linux 3：openssl（ELSA-2007-0813）	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	medium
79964	GLSA-201412-11：AMD64 x86 エミュレーションベースライブラリ：複数の脆弱性（Heartbleed）	Nessus	Gentoo Local Security Checks	2014/12/15	2022/5/5	critical
60307	Scientific Linux セキュリティ更新：SL4.x i386/x86_64 の openssl	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	medium
43658	CentOS 5：openssl（CESA-2007:0964）	Nessus	CentOS Local Security Checks	2010/1/6	2021/1/4	high
67585	Oracle Linux 5：openssl（ELSA-2007-0964）	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	high
107877	Solaris 10 (x86 ) ： 121230-02	Nessus	Solaris Local Security Checks	2018/3/12	2021/1/14	critical
60267	Scientific Linux セキュリティ更新：SL5.x i386/x86_64 の openssl	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	high
60273	Scientific Linux セキュリティ更新：SL3.x i386/x86_64 の openssl	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	medium
67058	CentOS 4：openssl（CESA-2007:1003）	Nessus	CentOS Local Security Checks	2013/6/29	2021/1/4	medium
86017	F5 Networks BIG-IP：OpenSSL SSL_get_shared_ciphers 脆弱性（SOL8106）	Nessus	F5 Networks Local Security Checks	2015/9/18	2021/1/11	critical

検出

プラグインの検索

critical

medium

critical

medium

high

high

critical

high

medium

medium

critical