Debian DLA-1418-1：bouncycastle 安全性更新

high Nessus Plugin ID 110948

語系：

概要

遠端 Debian 主機缺少一個安全性更新。

說明

在 Bouncy Castle (一種 Java 密碼編譯演算法實作) 中發現數個安全性弱點。CVE-2016-1000338 DSA 在驗證時，未完全驗證簽名的 ASN.1 編碼。可在構成簽名的序列中插入額外的元素，並且仍然對其進行驗證，這在某些情況下可將「不可見」的資料引入簽名結構。CVE-2016-1000339 以前用於 AES 的主要引擎類別是 AESFastEngine。由於演算法中使用了高度表格驅動的方法，事實證明，如果可以監視 CPU 上的資料通道，則查閱資料表存取權足以洩漏正在使用的 AES 金鑰上的資訊。AESEngine 中也存在洩漏問題，儘管實質數量要少得多。AESEngine 已進行了修改，以消除任何洩漏跡象，且現在是 BC JCE 提供者的主要 AES 類別。現在僅建議在適當的地方使用 AESFastEngine。CVE-2016-1000341 DSA 簽名產生容易受到計時攻擊。在能密切觀察簽名產生時機的地方，缺乏 blinding 可能會讓攻擊者獲得有關簽名的 k 值資訊，然後最後獲得私密值。CVE-2016-1000342 ECDSA 在驗證時，未完全驗證簽名的 ASN.1 編碼。可在構成簽名的序列中插入額外的元素，並且仍然對其進行驗證，這在某些情況下可將「不可見」的資料引入簽名結構。CVE-2016-1000343 如果搭配使用預設值，則 DSA 金鑰組產生器會產生弱式私密金鑰。如果未使用 DSA 參數明確初始化 JCA 金鑰組產生器，則 1.55 和更早版本將產生一個私密值，並假定金鑰大小為 1024 位元。在較早的版本中，這個問題可以透過將參數明確傳遞給金鑰組產生器來解決。CVE-2016-1000345 DHIES/ECIES CBC 模式容易受到 padding oracle 攻擊。在容易觀察到時機的環境中，只要足夠觀察就可以發現何時會因填補而導致解密失敗。CVE-2016-1000346 在 Bouncy Castle JCE 提供者中，另一方的 DH 公開金鑰未完全驗證。這可能會引起問題，因為無效的金鑰可用於顯示另一方私密金鑰 (使用靜態 Diffie-Hellman) 的詳細資訊。從此版本開始，將在協議計算中檢查金鑰參數。針對 Debian 8「Jessie」，這些問題已在 1.49+dfsg-3+deb8u3 版本中修正。建議您升級 bouncycastle 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

解決方案

升級受影響的套件。

另請參閱

https://lists.debian.org/debian-lts-announce/2018/07/msg00009.html

https://packages.debian.org/source/jessie/bouncycastle

Plugin 詳細資訊

嚴重性: High

ID: 110948

檔案名稱: debian_DLA-1418.nasl

版本: 1.8

類型: local

代理程式: unix

系列: Debian Local Security Checks

已發布: 2018/7/9

已更新: 2021/1/11

支援的感應器: Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus

風險資訊

VPR

風險因素: Low

分數: 3.6

CVSS v2

風險因素: Medium

基本分數: 5

時間分數: 4.1

媒介: CVSS2#AV:N/AC:L/Au:N/C:N/I:P/A:N

CVSS v3

風險因素: High

基本分數: 7.5

時間分數: 7

媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N

時間媒介: CVSS:3.0/E:F/RL:O/RC:X

弱點資訊

CPE: p-cpe:/a:debian:debian_linux:libbcmail-java, p-cpe:/a:debian:debian_linux:libbcmail-java-doc, p-cpe:/a:debian:debian_linux:libbcpg-java, p-cpe:/a:debian:debian_linux:libbcpg-java-doc, p-cpe:/a:debian:debian_linux:libbcpkix-java, p-cpe:/a:debian:debian_linux:libbcpkix-java-doc, p-cpe:/a:debian:debian_linux:libbcprov-java, p-cpe:/a:debian:debian_linux:libbcprov-java-doc, cpe:/o:debian:debian_linux:8.0

必要的 KB 項目: Host/local_checks_enabled, Host/Debian/release, Host/Debian/dpkg-l

修補程式發佈日期: 2018/7/7

弱點發布日期: 2018/6/1

參考資訊

CVE: CVE-2016-1000338, CVE-2016-1000339, CVE-2016-1000341, CVE-2016-1000342, CVE-2016-1000343, CVE-2016-1000345, CVE-2016-1000346