EulerOS 2.0 SP2:openssl110f (EulerOS-SA-2019-2430)

low Nessus Plugin ID 131584
新推出!Plugin 嚴重性目前使用 CVSS v3

計算 Plugin 嚴重性已更新為預設使用 CVSS v3 沒有 CVSS v3 評分的 Plugin 會回歸到以 CVSS v2 計算嚴重性。您可在設定下拉式選單中切換顯示嚴重性的喜好設定

Synopsis

遠端 EulerOS 主機缺少多個安全性更新。

描述

根據安裝的 openssl110f 套件版本,遠端主機上的 EulerOS 安裝會受到下列弱點影響:- OpenSSL DSA 簽章演算法已顯示為容易受到計時旁路攻擊。攻擊者可利用簽名演算法中的變體,復原私密金鑰。已在 OpenSSL 1.1.1a 中修正 (受影響的是 1.1.1)。已在 OpenSSL 1.1.0j 中修正 (受影響的是 1.1.0-1.1.0i)。已在 OpenSSL 1.0.2q 中修正 (受影響的是 1.0.2-1.0.2p)。(CVE-2018-0734) - 處理器中的同步多執行緒 (SMT) 可讓本機使用者透過在「連接埠爭用」上的旁路計時攻擊,惡意利用容易受到計時攻擊的軟體。(CVE-2018-5407) - 通常,在 OpenSSL EC 群組中,永遠存在一個餘因式,其用於防旁路程式碼路徑中。不過,在某些情況下,可能使用明確的參數 (而非使用具名曲線) 建構群組。在這些情況下,這類群組可能沒有餘因式存在。即使所有參數都符合已知的具名曲線,也會發生這種情況。如果使用這類曲線,則 OpenSSL 會回復為非防旁路程式碼路徑,這在 ECDSA 簽名作業期間,可能會導致完整金鑰復原。為了易於受到影響,攻擊者必須能夠在使用 libcrypto 的應用程式正在使用不存在餘因式的明確參數時,建立大量簽章計時。為避免疑義,libssl 因為從不使用明確參數而不易受到影響。已在 OpenSSL 1.1.1d 中修正 (受影響的是 1.1.1-1.1.1c)。已在 OpenSSL 1.1.0l 中修正 (受影響的是 1.1.0-1.1.0k)。已在 OpenSSL 1.0.2t 中修正 (受影響的是 1.0.2-1.0.2s)。(CVE-2019-1547) - 在攻擊者收到解密嘗試成功或失敗的自動通知的情況下,攻擊者可以使用 Bleichenbacher padding oracle 攻擊發送非常大量要解密的訊息之後,復原 CMS/PKCS7 傳輸的加密金鑰,或解密任何已使用公開 RSA 金鑰加密的 RSA 加密訊息。如果應用程式將憑證與 CMS_decrypt 或 PKCS7_decrypt 函式的私密 RSA 金鑰一起使用,以選擇正確的收件者資訊進行解密,則它們不會受到影響。已在 OpenSSL 1.1.1d 中修正 (受影響的是 1.1.1-1.1.1c)。已在 OpenSSL 1.1.0l 中修正 (受影響的是 1.1.0-1.1.0k)。已在 OpenSSL 1.0.2t 中修正 (1.0.2-1.0.2s 受影響)。(CVE-2019-1563) 請注意,Tenable Network Security 已直接從 EulerOS 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下,嘗試自動清理並將其格式化。

解決方案

更新受影響的 openssl110f 套件。

另請參閱

http://www.nessus.org/u?c75fc767

Plugin 詳細資訊

嚴重性: Low

ID: 131584

檔案名稱: EulerOS_SA-2019-2430.nasl

版本: 1.5

類型: local

已發布: 2019/12/4

已更新: 2021/1/6

相依性: ssh_get_info.nasl

風險資訊

CVSS 評分資料來源: CVE-2019-1563

VPR

風險因素: Medium

分數: 5.1

CVSS v2

風險因素: Medium

基本分數: 4.3

時間分數: 3.4

媒介: AV:N/AC:M/Au:N/C:P/I:N/A:N

時間媒介: E:POC/RL:OF/RC:C

CVSS v3

風險因素: Low

基本分數: 3.7

時間分數: 3.4

媒介: CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N

時間媒介: E:P/RL:O/RC:C

弱點資訊

CPE: p-cpe:/a:huawei:euleros:openssl110f, p-cpe:/a:huawei:euleros:openssl110f-devel, p-cpe:/a:huawei:euleros:openssl110f-libs, cpe:/o:huawei:euleros:2.0

必要的 KB 項目: Host/local_checks_enabled, Host/EulerOS/release, Host/EulerOS/rpm-list, Host/EulerOS/sp

排除在外的 KB 項目: Host/EulerOS/uvp_version

可被惡意程式利用: true

可輕鬆利用: Exploits are available

修補程式發佈日期: 2019/12/4

參考資訊

CVE: CVE-2018-0734, CVE-2018-5407, CVE-2019-1547, CVE-2019-1563