Linux Distros 未修補的弱點：CVE-2023-2975
medium Nessus Plugin ID 253299
語言:
概要
Linux/Unix 主機上安裝的一個或多個套件存有弱點，供應商表示將不會修補。說明
Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。- 問題摘要：AES-SIV 加密實作包含一個錯誤，可造成其忽略未經驗證的空白相關資料專案。影響摘要：使用 AES-SIV 演算法且想要將空資料項目驗證為關聯資料的應用程式可能會遭到誤導遭到移除、新增或重新排序這類空項目因為 OpenSSL 實作會忽略這些項目。我們目前未發現任何此類應用程式。AES-SIV 演算法允許驗證多個相關聯的資料項目以及加密。若要驗證空白資料，應用程式必須呼叫 EVP_EncryptUpdate() (或 EVP_CipherUpdate())，並使用 NULL 指標作為輸出緩衝區，使用 0 作為輸入緩衝區長度。OpenSSL 中的 AES-SIV 實作只會針對此類呼叫傳回成功，而非執行相關聯的資料驗證作業。因此，應用程式不會驗證空白資料。此問題不會影響非空白相關資料的驗證，而且我們預期應用程式很少會使用空白的相關資料項目，因此這符合「低」嚴重性問題。(CVE-2023-2975)
請注意，Nessus 的判定取決於廠商所報告的套件是否存在。
解決方案
目前尚未有已知的解決方案。另請參閱
Plugin 詳細資訊
嚴重性: Medium
ID: 253299
檔案名稱: unpatched_CVE_2023_2975.nasl
版本: 1.1
類型: local
代理程式: unix
系列: Misc.
已發布: 2025/8/21
已更新: 2025/8/21
支援的感應器: Agentless Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Frictionless Assessment Azure, Nessus Agent, Nessus
風險資訊
VPR
風險因素: Low
分數: 1.4
CVSS v2
風險因素: Medium
基本分數: 6.4
時間性分數: 4.7
媒介: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:N
CVSS 評分資料來源: CVE-2023-2975
CVSS v3
風險因素: Medium
基本分數: 5.3
時間性分數: 4.6
媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N
時間媒介: CVSS:3.0/E:U/RL:O/RC:C
弱點資訊
CPE: cpe:/o:canonical:ubuntu_linux:22.04:-:lts, p-cpe:/a:canonical:ubuntu_linux:nodejs
必要的 KB 項目: Host/cpu, Host/local_checks_enabled, global_settings/vendor_unpatched, Host/OS/identifier
可輕鬆利用: No known exploits are available
弱點發布日期: 2023/7/7
參考資訊
CVE: CVE-2023-2975