遠端 MiracleLinux 3 主機已安裝受到 AXSA:2010-154:01 公告中所提及的多個弱點影響的套件。

    OpenSSL 工具組為機器提供安全的通訊支援。OpenSSL 包含憑證管理工具，以及可提供多種密碼編譯演算法和通訊協定的共用程式庫。
    在此版本中修正的安全性問題
    CVE-2009-3245 0.9.8m 之前的 OpenSSL 不會檢查來自 (1) crypto/bn/bn_div.c、(2) crypto/bn/bn_gf2m.c、(3) crypto/ec/ec2_smpl.c 中 bn_wexpand 函式呼叫的 NULL 傳回值、以及 (4) engines/e_ubsec.c其具有不明影響以及內容相依的攻擊向量。
    CVE-2009-3555 Microsoft Internet Information Services (IIS) 7.0中使用的 TLS 通訊協定以及 SSL 通訊協定 3.0 與更舊版本可能為 [] 、Apache HTTP Server 2.2.14 和更舊版本中的 mod_ssl、0.9.8l 之前的 OpenSSL、GnuTLS 2.8.5 和在更舊版本的 Mozilla Network Security Services (NSS) 3.12.4 和更舊版本中多個 Cisco 產品和其他產品未正確將重新交涉交握與現有的連線建立關聯進而允許攔截式攻擊者在 HTTPS 工作階段中插入資料傳送未經驗證的要求 (由伺服器在重新交涉後內容中追溯處理)此問題與純文字插入攻擊 (即 Project Mogul 問題) 相關。
    CVE-2010-0433 Kerberos 已啟用但 Kerberos 設定檔無法開啟時在 0.9.8n 版之前的 OpenSSL 中ssl/kssl.c 的 kssl_keytab_is_available 函式不會檢查特定傳回值進而允許遠端攻擊者造成拒絕服務 (NULL 指標解除參照和程序損毀)如同在 chroot 內沒有 Kerberos 設定檔案的 Dovecot 或 stunnel 的 chroot 安裝所示。

Tenable 已直接從 MiracleLinux 安全性公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

MiracleLinux 3 : openssl-0.9.8e-12.AXS3.6 (AXSA:2010-154:01)

critical Nessus Plugin ID 284502

版本 1.1