OpenSSLで3つのセキュリティの問題が発見されました：ECDSAに対するタイミング攻撃、PKCS7_dataDecode()およびCMS_decrypt_set1_pkey()のパディングオラクル、およびfork() syscallがデフォルトで使用されない場合に、乱数発生器（RNG）の機能が親プロセスと子プロセス間の共有RNG状態に対する保護を意図していたことが判明しました。

攻撃者が復号の成功または失敗の自動通知を受け取るとき、復号する大量のメッセージが送信されると、攻撃者がBleichenbacherパディングオラクル攻撃を仕掛けて、CMS/PKCS7で転送された暗号化キーを復元したり、公開RSAキーで暗号化されたRSA暗号化メッセージを復号したりする可能性があります。証明書とともにCMS_decrypt関数またはPKCS7_decrypt関数へのプライベートRSAキーを使用して、復号する正しい受信者情報を選択する場合、アプリケーションは影響を受けません。OpenSSL 1.1.1dで修正されました（1.1.1～1.1.1cが影響を受けます）。
OpenSSL 1.1.0l で修正されました（1.1.0～1.1.0kが影響を受けます）。OpenSSL 1.0.2tで修正されました（1.0.2～1.0.2sが影響を受けます）。（CVE-2019-1563）

通常、OpenSSL ECグループには常に補因子があり、これはサイドチャネル耐性コードパスで使用されます。ただし、（名前付き曲線を使用する代わりに）明示的なパラメーターを使用してグループを作成できる場合があります。その場合、このようなグループにはコファクターが存在しない可能性があります。これは、すべてのパラメーターが既知の名前付き曲線と一致する場合でも発生する可能性があります。このような曲線が使用される場合、OpenSSLは、サイドチャンネル以外の耐性コードパスにフォールバックすることで、ECDSA署名操作中に完全にキーを回復する可能性があります。
脆弱であるには、libcryptoを使用するアプリケーションでコファクターが存在しない明示的なパラメーターを使用して大量の署名が作成されているときの作成時間を攻撃者が知ることができる必要があります。ただし、libsslでは、明示的なパラメーターが使用されないため脆弱ではありません。OpenSSL 1.1.1dで修正されました（1.1.1～1.1.1cが影響を受けます）。OpenSSL 1.1.0l で修正されました（1.1.0～1.1.0kが影響を受けます）。OpenSSL 1.0.2t で修正されました（1.0.2～1.0.2sが影響を受けます）。
(CVE-2019-1547)

OpenSSL 1.1.1で、修正された乱数発生器（RNG）が導入されました。
この目的は、親プロセスと子プロセスが同じRNG状態を共有しないようにするために、fork()システムコールのイベントに保護を含めることです。ただし、この保護はデフォルトのケースでは使用されていません。この問題に対する部分的な緩和策は、高精度タイマーからの出力がRNG状態に混入されるため、親プロセスと子プロセスが状態を共有する可能性が大幅に減少することです。アプリケーションがすでにOPENSSL_INIT_ATFORKを使用してOPENSSL_init_crypto()を明示的に呼び出している場合は、この問題がまったく発生しません。OpenSSL 1.1.1dで修正されました（1.1.1～1.1.1cが影響を受けます）。（CVE-2019-1549）

リモートの Redhat Enterprise Linux 6/7 ホストにインストールされているパッケージは、RHSA-2020: 1337アドバイザリに記載された複数の脆弱性の影響を受けます。

  - httpd: 早期プッシュにおけるメモリ破損（CVE-2019-10081）

  - httpd: h2接続シャットダウンでのメモリ解放後読み取り（CVE-2019-10082）

  - httpd: mod_proxyエラーページでの制限付きクロスサイトスクリプティング（CVE-2019-10092）

  - httpd: mod_remoteipでのNULLポインターデリファレンス（CVE-2019-10097）

  - httpd: mod_rewriteの潜在的なオープンリダイレクト（CVE-2019-10098）

  - openssl：サイドチャネルの脆弱な暗号化の脆弱性（CVE-2019-1547）

  - openssl：fork()での情報漏洩（CVE-2019-1549）

  - openssl：PKCS7_dataDecodeとCMS_decrypt_set1_pkeyにおける情報開示（CVE-2019-1563）

  - httpd: mod_rewriteの構成がオープンリダイレクトに脆弱です（CVE-2020-1927）

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの Redhat Enterprise Linux 8 ホストにインストールされているパッケージは、RHSA-2020: 1840のアドバイザリ。

  - openssl：サイドチャネルの脆弱な暗号化の脆弱性（CVE-2019-1547）

  - openssl：fork()での情報漏洩（CVE-2019-1549）

  - openssl：PKCS7_dataDecodeとCMS_decrypt_set1_pkeyにおける情報開示（CVE-2019-1563）

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

OpenSSL プロジェクトによる報告：

ECDSAリモートタイミング攻撃（CVE-2019-1547）[重要度低]

フォーク保護（CVE-2019-1549）[重要度低]（OpenSSL 1.1.1のみ）

リモートホストにインストールされているテスト済み製品のバージョンは、テスト済みバージョンより前です。したがって、次の脆弱性の影響を受けます：

  - 通常、OpenSSL ECグループには常に補因子があり、これはサイドチャネル耐性コードパスで使用されます。ただし、(名前付き曲線を使用する代わりに)明示的なパラメーターを使用してグループを作成できる場合があります。その場合、このようなグループにはコファクターが存在しない可能性があります。
    これは、すべてのパラメーターが既知の名前付き曲線と一致する場合でも発生する可能性があります。このような曲線が使用される場合、OpenSSLは、サイドチャンネル以外の耐性コードパスにフォールバックすることで、ECDSA署名操作中に完全にキーを回復する可能性があります。脆弱であるには、libcryptoを使用するアプリケーションでコファクターが存在しない明示的なパラメーターを使用して大量の署名が作成されているときの作成時間を攻撃者が知ることができる必要があります。ただし、libsslでは、明示的なパラメーターが使用されないため脆弱ではありません。OpenSSLバージョン1.1.1、1.1.0および1.0.2は、この問題の影響を受けます。（CVE-2019-1547）

  - OpenSSL 1.1.1で、修正された乱数発生器（RNG）が導入されました。この目的は、親プロセスと子プロセスが同じRNG状態を共有しないようにするために、fork()システムコールのイベントに保護を含めることです。ただし、この保護はデフォルトのケースでは使用されていません。この問題に対する部分的な緩和策は、高精度タイマーからの出力がRNG状態に混入されるため、親プロセスと子プロセスが状態を共有する可能性が大幅に減少することです。アプリケーションがすでにOPENSSL_INIT_ATFORKを使用してOPENSSL_init_crypto()を明示的に呼び出している場合は、この問題がまったく発生しません。OpenSSLバージョン1.1.1は、この問題の影響を受けます。
    (CVE-2019-1549)

  - 攻撃者が復号の成功または失敗の自動通知を受け取るとき、復号する大量のメッセージが送信されると、攻撃者がBleichenbacherパディングオラクル攻撃を仕掛けて、CMS/PKCS7で転送された暗号化キーを復元したり、公開RSAキーで暗号化されたRSA暗号化メッセージを復号したりする可能性があります。
    証明書とともにCMS_decrypt関数またはPKCS7_decrypt関数へのプライベートRSAキーを使用して、復号する正しい受信者情報を選択する場合、アプリケーションは影響を受けません。（CVE-2019-1563）

Nessusはこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

影響の小さいセキュリティ修正を含むマイナーな更新リリース1.1.1d。

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Cesar Pereida Garcia氏、Sohaib ul Hassan氏、Nicola Tuveri氏、Iaroslav Gridin氏、Alejandro Cabrera Aldaya氏、Billy Brumley氏は、OpenSSLがECDSA署名を不適切に処理することを発見しました。攻撃者がこの問題を悪用してタイミングサイドチャネル攻撃を仕掛け、ECDSA秘密鍵を復元する可能性があります。(CVE-2019-1547) 

Matt Caswell氏は、OpenSSLが乱数発生器 (RNG) を不適切に処理することを発見しました。これにより、fork () システムコールを使用するアプリケーションが、予想に反して、親と子の間で同じRNG状態を共有する可能性があります。この問題の影響を受けるのは、Ubuntu 18.04 LTSとUbuntu 19.10のみです。(CVE-2019-1549)

Guido Vranken氏は、OpenSSLがx86_64 Montgomery積算プロシージャを不適切に実行することを発見しました。可能性は低いながら、リモートの攻撃者がこの問題を悪用して、秘密鍵を復元する可能性があります。(CVE-2019-1551) 

Bernd Edlinger氏は、OpenSSLが特定の復号化関数を不適切に処理することを発見しました。特定のシナリオで、リモートの攻撃者がこの問題を悪用して、パディングオラクル攻撃を実行し、トラフィックを復号する可能性があります。(CVE-2019-1563)。

注意: Tenable Network Security は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

リモートのCentOS Linux 8ホストにインストールされているパッケージは、CESA-2020: 1840のアドバイザリ。

  - openssl：サイドチャネルの脆弱な暗号化の脆弱性（CVE-2019-1547）

  - openssl：fork()での情報漏洩（CVE-2019-1549）

  - openssl：PKCS7_dataDecodeとCMS_decrypt_set1_pkeyにおける情報開示（CVE-2019-1563）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの Oracle Linux 8 ホストに、ELSA-2020-1840 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 通常、OpenSSL EC グループには常に補因子があり、これはサイドチャネル耐性コードパスで使用されます。ただし、(名前付き曲線を使用する代わりに)明示的なパラメーターを使用してグループを作成できる場合があります。その場合、このようなグループにはコファクターが存在しない可能性があります。これは、すべてのパラメーターが既知の名前付き曲線と一致する場合でも発生する可能性があります。このような曲線が使用される場合、OpenSSLは、サイドチャンネル以外の耐性コードパスにフォールバックすることで、ECDSA署名操作中に完全にキーを回復する可能性があります。脆弱であるには、libcryptoを使用するアプリケーションでコファクターが存在しない明示的なパラメーターを使用して大量の署名が作成されているときの作成時間を攻撃者が知ることができる必要があります。ただし、libsslでは、明示的なパラメーターが使用されないため脆弱ではありません。OpenSSL 1.1.1dで修正されました(1.1.1～1.1.1cが影響を受けます)。OpenSSL 1.1.0l で修正されました(1.1.0～1.1.0kが影響を受けます)。OpenSSL 1.0.2t で修正されました (1.0.2～1.0.2s が影響を受けます)。(CVE-2019-1547)

  - OpenSSL 1.1.1 で、修正された乱数発生器 (RNG) が導入されました。この目的は、親プロセスと子プロセスが同じRNG状態を共有しないようにするために、fork()システムコールのイベントに保護を含めることです。ただし、この保護はデフォルトのケースでは使用されていません。この問題に対する部分的な緩和策は、高精度タイマーからの出力がRNG状態に混入されるため、親プロセスと子プロセスが状態を共有する可能性が大幅に減少することです。アプリケーションがすでにOPENSSL_INIT_ATFORKを使用してOPENSSL_init_crypto()を明示的に呼び出している場合は、この問題がまったく発生しません。OpenSSL 1.1.1d で修正されました (1.1.1～1.1.1c が影響を受けます)。(CVE-2019-1549)

  - 攻撃者が復号の成功または失敗の自動通知を受け取るとき、復号する大量のメッセージが送信されると、攻撃者が Bleichenbacher パディングオラクル攻撃を仕掛けて、CMS/PKCS7 で転送された暗号化キーを復元したり、公開 RSA キーで暗号化された RSA 暗号化メッセージを復号したりする可能性があります。証明書とともにCMS_decrypt関数またはPKCS7_decrypt関数へのプライベートRSAキーを使用して、復号する正しい受信者情報を選択する場合、アプリケーションは影響を受けません。OpenSSL 1.1.1dで修正されました(1.1.1～1.1.1cが影響を受けます)。OpenSSL 1.1.0l で修正されました(1.1.0～1.1.0kが影響を受けます)。OpenSSL 1.0.2t で修正されました (1.0.2～1.0.2s が影響を受けます)。(CVE-2019-1563)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

openssl-1_1用のこの更新プログラムでは、以下の問題が修正されています：

修正されたセキュリティ問題：

CVE-2019-1551：512ビットの係数を使用した累乗で使用されるx64_64 Montgomery二乗プロシージャ内のオーバーフローのバグを修正しました（bsc#1158809）。

CVE-2019-1563：cms/pkcs7 cryptoioonで転送されたキーに対するbleichenbacher攻撃を修正しました（bsc#1150250）。

CVE-2019-1551：x86_64上のRSAZ冪剰余での整数オーバーフローを修正しました（bsc#1158809）。

CVE-2019-1549：ランダムジェネレーターに伴うフォークの問題を修正しました（bsc#1150247）。

CVE-2019-1547：EC_GROUP_set_generatorサイドチャネル攻撃の回避を修正しました（bsc#1150003）。

バグ修正：

openssl 1.1.1バイナリをopenssl-1_1として出荷し、それをシステムopensslと並行してインストールできるようにします（bsc#1140277）。

1.1.1dに更新します（bsc#1133925、jsc#SLE-6430）。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

影響の小さいセキュリティ修正を含むマイナーな更新リリース1.1.1d。

----

golang TLSクライアントでサーバーの相互運用性の問題を引き起こすTLSの非準拠を修正します。

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
129506	DebianDSA-4539-1：openssl - セキュリティ更新	Nessus	Debian Local Security Checks	2019/10/2	2024/4/22	medium
138622	Amazon Linux 2：openssl11 (ALAS-2020-1456)	Nessus	Amazon Linux Local Security Checks	2020/7/20	2024/3/1	medium
135235	RHEL 6/7: Red Hat JBoss Core Services Apache HTTP Server 2.4.37 SP5（RHSA-2020: 1337)	Nessus	Red Hat Local Security Checks	2020/4/6	2024/4/28	critical
143010	RHEL 8: openssl（RHSA-2020: 1840)	Nessus	Red Hat Local Security Checks	2020/11/18	2023/5/25	medium
128746	FreeBSD：OpenSSL -- 複数の脆弱性（9e0c6f7a-d46d-11e9-a1c7-b499baebfeaf）	Nessus	FreeBSD Local Security Checks	2019/9/12	2024/4/26	medium
128116	OpenSSL 1.1.1 < 1.1.1dの複数の脆弱性	Nessus	Web Servers	2019/8/23	2023/8/8	medium
129327	Fedora 30：1: openssl（2019-d15aac6c4e）	Nessus	Fedora Local Security Checks	2019/9/25	2024/4/23	medium
136967	Ubuntu 16.04 LTS / 18.04 LTS：OpenSSL の脆弱性 (USN-4376-1)	Nessus	Ubuntu Local Security Checks	2020/5/29	2023/10/20	medium
145975	CentOS 8：openssl（CESA-2020：1840）	Nessus	CentOS Local Security Checks	2021/2/1	2021/3/23	medium
180920	Oracle Linux 8: openssl (ELSA-2020-1840)	Nessus	Oracle Linux Local Security Checks	2023/9/7	2023/9/7	medium
132926	SUSE SLED12 / SLES12セキュリティ更新プログラム：openssl-1_1（SUSE-SU-2020:0099-1）	Nessus	SuSE Local Security Checks	2020/1/15	2024/3/29	medium
129513	Fedora 29：1: openssl（2019-d51641f152）	Nessus	Fedora Local Security Checks	2019/10/2	2024/4/22	medium
129635	Fedora 31：1: openssl（2019-9ab7ee6309）	Nessus	Fedora Local Security Checks	2019/10/7	2024/4/19	medium

検出

プラグインの検索

medium

medium

critical

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium