Oracle Linux 9：openssl (ELSA-2024-12093)
high Nessus Plugin ID 189606
語系：
概要
遠端 Oracle Linux 主機缺少安全性更新。說明
遠端 Oracle Linux 9 主機上安裝的套件受到 ELSA-2024-12093 公告中提及的一個弱點影響。- 問題摘要：在金鑰和初始化向量 (IV) 長度的處理中發現一個錯誤。
這可能導致在某些對稱式密碼初始化期間發生截斷或滿溢。
影響摘要：IV 中的截斷可導致非唯一性，進而可導致某些加密模式失去機密性。呼叫 EVP_EncryptInit_ex2()、EVP_DecryptInit_ex2() 或 EVP_CipherInit_ex2() 時，會在建立金鑰和 IV 之後處理所提供的 OSSL_PARAM 陣列。在 OSSL_PARAM 陣列中，透過 keylen 參數對金鑰長度進行的任何變更，或透過 ivlen 參數對 IV 長度進行的任何變更都不會如預期生效，進而可能造成這些值遭到截斷或過度讀取。下列密碼和加密模式會受到影響：RC2、RC4、RC5、CCM、GCM 和 OCB。針對 CCM、GCM 和 OCB 加密模式，IV 截斷可導致機密性喪失。例如，遵循 NIST 的 SP 800-38D 第 8.2.1 節指南，在 GCM 模式下建構 AES 的確定性 IV 時，截斷計數器部分可導致 IV 重複使用。金鑰的截斷和滿溢，以及 IV 的滿溢都會產生不正確的結果，且在某些情況下可觸發記憶體例外狀況。不過，這些問題目前並未評估為重大安全性問題。變更金鑰和/或 IV 長度不屬於常見作業，且最近才引入有弱點的 API。此外，應用程式開發人員很可能會在測試期間發現此問題，因為除非通訊中的兩個對等節點都有類似的弱點，否則解密將會失敗。基於這些原因，我們預期應用程式受到此弱點影響的可能性相當低。但是，如果應用程式有弱點，則此問題會被視為非常嚴重。基於這些原因，我們將此問題的整體嚴重性評估為中等。OpenSSL SSL/TLS 實作不受此問題影響。OpenSSL 3.0 和 3.1 FIPS 提供者不受此問題影響，因為問題不在 FIPS 提供者邊界之內。OpenSSL 3.1 至 3.0 受此問題影響。
(CVE-2023-5363)
請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。
解決方案
更新受影響的套件。另請參閱
Plugin 詳細資訊
嚴重性: High
ID: 189606
檔案名稱: oraclelinux_ELSA-2024-12093.nasl
版本: 1.1
類型: local
代理程式: unix
已發布: 2024/1/25
已更新: 2024/3/8
支援的感應器: Frictionless Assessment Agent, Nessus Agent, Nessus
風險資訊
VPR
風險因素: Medium
分數: 4.4
CVSS v2
風險因素: High
基本分數: 7.8
時間分數: 5.8
媒介: CVSS2#AV:N/AC:L/Au:N/C:C/I:N/A:N
CVSS 評分資料來源: CVE-2023-5363
CVSS v3
風險因素: High
基本分數: 7.5
時間分數: 6.5
媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
時間媒介: CVSS:3.0/E:U/RL:O/RC:C
弱點資訊
CPE: cpe:/a:oracle:linux:9::userspace_ksplice, cpe:/o:oracle:linux:9, p-cpe:/a:oracle:linux:openssl, p-cpe:/a:oracle:linux:openssl-devel, p-cpe:/a:oracle:linux:openssl-libs, p-cpe:/a:oracle:linux:openssl-perl
必要的 KB 項目: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/OracleLinux
可輕鬆利用: No known exploits are available
修補程式發佈日期: 2024/1/25
弱點發布日期: 2023/10/24
參考資訊
CVE: CVE-2023-5363
IAVA: 2023-A-0582-S