AlmaLinux 9.2 [TuxCare] 安全性更新：openssl / openssl-devel / openssl-libs / openssl-perl （ALMALINUX9.2：CLSA-2025：1741787087）

medium Nessus Plugin ID 351663

語言:

概要

AlmaLinux 主機缺少一或多個安全性更新。

說明

AlmaLinux 9.2 主機已安裝的套件會受到 TuxCare ALMALINUX9.2：CLSA-2025：1741787087 公告中所述弱點影響。

- 問題摘要：檢查過長無效 RSA 公開金鑰可能需要很長時間。影響摘要：
使用 EVP_PKEY_public_check() 函式檢查 RSA 公開金鑰的應用程式可能會遇到長時間延遲。如果要檢查的金鑰是從未受信任的來源取得，這可能會導致拒絕服務。對 RSA 公開金鑰呼叫 EVP_PKEY_public_check() 函式時，系統會完成計算以確認 RSA 模數 n 是否為複合金鑰。針對有效的 RSA 金鑰，n 是兩個或多個大質數的乘積，且此運算可快速完成。但是，如果 n 是過大的質數，則此計算會花費很長時間。應用程式如果呼叫 EVP_PKEY_public_check() 並提供從未受信任之來源取得的 RSA 金鑰，則容易遭受拒絕服務攻擊。EVP_PKEY_public_check() 函式並非從其他 OpenSSL 函式呼叫，而是從 OpenSSL pkey 命令行應用程式呼叫。因此，在處理未受信任的資料時，若使用「-pubin」和「-check」選項，應用程式也易受到攻擊。OpenSSL SSL/TLS 實作不受此問題影響。OpenSSL 3.0 和 3.1 FIPS 提供者受此問題影響。(CVE-2023-6237)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。