Amazon Linux 2:openssl、openssl11 (ALAS-2022-1766)

high Nessus Plugin ID 158954

Synopsis

遠端 Amazon Linux 2 主機缺少安全性更新。

描述

遠端主機上安裝的 openssl 版本為 1.0.2k-24 之前版本。遠端主機上安裝的 openssl11 為 1.1.1g-12 之前版本。因此,會受到 ALAS2-2022-1766 公告中提及的一個弱點影響。

- BN_mod_sqrt() 函式專用於計算模組化平方根,其中包含一個可導致其針對非質數模數永遠執行迴圈的錯誤。在內部剖析包含壓縮形式的橢圓曲線公開金鑰或具有以壓縮形式編碼之基點的顯式橢圓曲線參數時,會使用此函式。透過建構具有無效顯式曲線參數的憑證,可能會觸發無限迴圈。由於憑證剖析發生在驗證憑證簽章之前,因此任何剖析外部提供之憑證的處理程序都可能遭受拒絕服務攻擊。也可以在剖析建構的私密金鑰時造成無限迴圈,因為這些金鑰中可能包含顯式橢圓曲線參數。因此,易受攻擊的情況包括:- 使用伺服器憑證的 TLS 伺服器 - 使用用戶端憑證的 TLS 伺服器 - 從客戶處取得憑證或私密金鑰的主機供應商 - 剖析來自使用者憑證要求的認證機構 - 剖析 ASN.1 橢圓曲線參數的任何其他應用程式,以及使用 BN_mod_sqrt() 的任何其他應用程式 (其中攻擊者可控制容易受到此 DoS 問題影響的參數值)。在 OpenSSL 1.0.2 版本中,最初剖析憑證期間並未剖析公開金鑰,進而導致觸發無限迴圈變得略微困難。不過,任何需要憑證公開金鑰的作業都會觸發無限迴圈。特別是,攻擊者可在驗證憑證簽章期間使用自我簽署憑證觸發迴圈。OpenSSL 1.0.2、 1.1.1 和 3.0 會受到此問題影響。此問題已在 2022 年 3 月 15 日發布的 1.1.1n 和 3.0.2 版本中得到解決。已在 OpenSSL 3.0.2 中修正 (受影響的是 3.0.0、3.0.1)。已在 OpenSSL 1.1.1n 中修正 (受影響的是 1.1.1-1.1.1m)。已在 OpenSSL 1.0.2zd 中修正 (受影響的是 1.0.2-1.0.2zc)。(CVE-2022-0778)

請注意,Nessus 並未測試此問題,而是僅依據應用程式自我報告的版本號碼作出判斷。

解決方案

執行「yum update openssl」以更新系統。
執行「yum update openssl11」以更新系統。

另請參閱

https://alas.aws.amazon.com/AL2/ALAS-2022-1766.html

https://alas.aws.amazon.com/cve/html/CVE-2022-0778.html

Plugin 詳細資訊

嚴重性: High

ID: 158954

檔案名稱: al2_ALAS-2022-1766.nasl

版本: 1.6

類型: local

代理程式: unix

已發布: 2022/3/16

已更新: 2022/6/3

支持的傳感器: Frictionless Assessment Agent, Frictionless Assessment AWS, Nessus Agent

風險資訊

VPR

風險因素: High

分數: 7.1

CVSS v2

風險因素: Medium

基本分數: 5

時間分數: 3.9

媒介: AV:N/AC:L/Au:N/C:N/I:N/A:P

時間媒介: E:POC/RL:OF/RC:C

CVSS 評分資料來源: CVE-2022-0778

CVSS v3

風險因素: High

基本分數: 7.5

時間分數: 6.7

媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

時間媒介: E:P/RL:O/RC:C

弱點資訊

CPE: p-cpe:/a:amazon:linux:openssl, p-cpe:/a:amazon:linux:openssl-debuginfo, p-cpe:/a:amazon:linux:openssl-devel, p-cpe:/a:amazon:linux:openssl-libs, p-cpe:/a:amazon:linux:openssl-perl, p-cpe:/a:amazon:linux:openssl-static, p-cpe:/a:amazon:linux:openssl11, p-cpe:/a:amazon:linux:openssl11-debuginfo, p-cpe:/a:amazon:linux:openssl11-devel, p-cpe:/a:amazon:linux:openssl11-libs, p-cpe:/a:amazon:linux:openssl11-static, cpe:/o:amazon:linux:2

必要的 KB 項目: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list

可被惡意程式利用: true

可輕鬆利用: Exploits are available

修補程式發佈日期: 2022/3/15

弱點發布日期: 2022/3/15

參考資訊

CVE: CVE-2022-0778

ALAS: 2022-1766

IAVA: 2022-A-0121-S