說明
遠端主機上安裝的 OpenSSL 版本低於 1.1.1v。因此,它會受到 1.1.1v 公告中所提及的多個弱點影響。
- 問題摘要:檢查過長的 DH 金鑰或參數時可能會非常緩慢。影響摘要:
使用 DH_check()、DH_check_ex() 或 EVP_PKEY_param_check() 函式檢查 DH 金鑰或 DH 參數的應用程式可能會遇到長時間延遲。如果要檢查的金鑰或參數是從未受信任的來源取得,這可能會導致拒絕服務。DH_check() 函式會對 DH 參數執行各種檢查,修復 CVE-2023-3446 後,發現在某些檢查期間,較大的 q 參數值也可觸發過長計算。正確的 q 值 (若存在) 不能大於模數 p 參數,因此如果 q 大於 p,則不需要執行這些檢查。應用程式如果呼叫 DH_check() 並提供從未受信任之來源取得的金鑰或參數,則容易遭受拒絕服務攻擊。DH_check() 函式本身會由數個其他 OpenSSL 函式呼叫。呼叫任何其他函式的應用程式亦可能會受到類似影響。受此問題影響的其他函式包括 DH_check_ex() 和 EVP_PKEY_param_check()。
使用「-check」選項時,OpenSSL dhparam 和 pkeyparam 命令行應用程式也容易受到影響。OpenSSL SSL/TLS 實作不受此問題影響。OpenSSL 3.0 和 3.1 FIPS 提供者不受此問題影響。(CVE-2023-3817)
- 問題摘要:檢查過長的 DH 金鑰或參數時可能會非常緩慢。影響摘要:
使用 DH_check()、DH_check_ex() 或 EVP_PKEY_param_check() 函式檢查 DH 金鑰或 DH 參數的應用程式可能會遇到長時間延遲。如果要檢查的金鑰或參數是從未受信任的來源取得,這可能會導致拒絕服務。DH_check() 函式會對 DH 參數執行各種檢查,其中一項檢查會確認模數 (「p」參數) 不是太大。嘗試使用非常大的模數時執行速度會變慢,且 OpenSSL 通常不會使用長度超過 10,000 位元的模數。不過,DH_check() 函式會檢查已提供金鑰或參數的多個方面。有些檢查會使用提供的模數值,即使已發現此模數值過大亦然。應用程式如果呼叫 DH_check() 並提供從未受信任的來源取得之金鑰或參數,可能容易遭受拒絕服務攻擊。DH_check() 函式本身會由數個其他 OpenSSL 函式呼叫。呼叫任何其他函式的應用程式亦可能會受到類似影響。受此問題影響的其他函式包括 DH_check_ex() 和 EVP_PKEY_param_check()。使用「-check」選項時,OpenSSL dhparam 和 pkeyparam 命令行應用程式也容易受到影響。OpenSSL SSL/TLS 實作不受此問題影響。OpenSSL 3.0 和 3.1 FIPS 提供者不受此問題影響。(CVE-2023-3446)
請注意,Nessus 並未測試這些問題,而是僅依據應用程式自我報告的版本號碼作出判斷。
解決方案
升級至 OpenSSL 1.1.1v 版或更新版本。
Plugin 詳細資訊
檔案名稱: openssl_1_1_1v.nasl
代理程式: windows, macosx, unix
組態: 啟用徹底檢查
支援的感應器: Nessus Agent, Nessus
風險資訊
媒介: CVSS2#AV:N/AC:L/Au:N/C:N/I:N/A:P
媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L
時間媒介: CVSS:3.0/E:U/RL:O/RC:C
弱點資訊
CPE: cpe:/a:openssl:openssl
必要的 KB 項目: installed_sw/OpenSSL
可輕鬆利用: No known exploits are available