Ubuntu 22.04 LTS / 24.04 LTS / 26.04 LTS：OpenSSL 弱點 (USN-8678-1)
critical Nessus Plugin ID 365402
語言:
概要
遠端 Ubuntu 主機缺少一個或多個安全性更新。說明
遠端 Ubuntu 22.04 LTS / 24.04 LTS / 26.04 LTS 主機上安裝的套件受到 USN-8678-1 公告中所提及的多個弱點影響。據發現，OpenSSL 錯誤地處理了 QUIC 伺服器傳入通道佇列。遠端攻擊者可能會利用此漏洞，導致 OpenSSL 消耗過多資源，進而引發拒絕服務。這個問題只會影響 Ubuntu 26.04 LTS。(CVE-2026-14456)
據發現，OpenSSL 在使用原始公開金鑰時，會以錯誤的方式處理簽章演算法選取。遠端攻擊者可能利用此問題造成 OpenSSL 損毀，從而導致拒絕服務。這個問題只會影響 Ubuntu 26.04 LTS。(CVE-2026-14457)
據發現，OpenSSL 錯誤地處理了 QUIC INITIAL 封包處理。遠端攻擊者可能利用此問題造成 OpenSSL 損毀，從而導致拒絕服務。這個問題只會影響 Ubuntu 26.04 LTS。(CVE-2026-18798)
據發現，OpenSSL 未正確處理未來 epoch 的 DTLS 記錄緩衝。遠端攻擊者可能會利用此問題導致 OpenSSL 使用過多資源，進而造成拒絕服務。（CVE-2026-54874）
據發現，OpenSSL 錯誤地處理了 CMS 金鑰解包。遠端攻擊者可能會利用此問題造成堆積緩衝區溢位，進而導致拒絕服務或任意程式碼執行。（CVE-2026-63072）
據發現，OpenSSL 未正確驗證 CMP 回應訊息中的寄件者辨別名稱。遠端攻擊者可能利用此問題造成 OpenSSL 損毀，從而導致拒絕服務。這個問題只會影響 Ubuntu 26.04 LTS。(CVE-2026-63073)
據發現，OpenSSL 錯誤地限制了 CMP 作業期間使用的內部憑證快取的成長。遠端攻擊者可能會利用此問題導致 OpenSSL 使用過多資源，進而造成拒絕服務。（CVE-2026-63074）
據發現，OpenSSL 錯誤地處理了僅限 QUIC ACK 的封包保留。遠端攻擊者可能會利用此漏洞，導致 OpenSSL 消耗過多資源，進而引發拒絕服務。這個問題只會影響 Ubuntu 26.04 LTS。(CVE-2026-63075)
據發現，OpenSSL 未正確處理 CMP 保護演算法驗證。遠端攻擊者可能利用此問題造成 OpenSSL 損毀，從而導致拒絕服務。
(CVE-2026-63076)
據發現，透過 EVP_Cipher（） 介面使用某些 AEAD 密碼時，OpenSSL 錯誤地驗證了驗證標籤。攻擊者可能會利用此問題來執行 AEAD 偽造攻擊。
(CVE-2026-75803)
Tenable 已直接從 Ubuntu 安全公告擷取前置描述區塊。
請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。
解決方案
更新受影響的套件。另請參閱
Plugin 詳細資訊
嚴重性: Critical
ID: 365402
檔案名稱: ubuntu_USN-8678-1.nasl
版本: 1.1
類型: Local
代理程式: unix
已發布: 2026/10/13
已更新: 2026/10/13
支援的感應器: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
風險資訊
VPR
風險因素: Medium
分數: 5.8
百分位數: 96.11
CVSS v2
風險因素: Critical
基本分數: 10
時間性分數: 7.4
媒介: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C
CVSS 評分資料來源: CVE-2026-63073
CVSS v3
風險因素: Critical
基本分數: 9.8
時間性分數: 8.5
媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
時間媒介: CVSS:3.0/E:U/RL:O/RC:C
弱點資訊
CPE: cpe:/o:canonical:ubuntu_linux:22.04:-:lts, cpe:/o:canonical:ubuntu_linux:24.04:-:lts, cpe:/o:canonical:ubuntu_linux:26.04:-:lts, p-cpe:/a:canonical:ubuntu_linux:libssl3, p-cpe:/a:canonical:ubuntu_linux:libssl3t64, p-cpe:/a:canonical:ubuntu_linux:openssl-provider-legacy, p-cpe:/a:canonical:ubuntu_linux:openssl
必要的 KB 項目: Host/cpu, Host/Debian/dpkg-l, Host/Ubuntu, Host/Ubuntu/release
可輕鬆利用: No known exploits are available
修補程式發佈日期: 2026/8/25
弱點發布日期: 2026/8/5
參考資訊
CVE: CVE-2026-14456, CVE-2026-14457, CVE-2026-18798, CVE-2026-54874, CVE-2026-63072, CVE-2026-63073, CVE-2026-63074, CVE-2026-63075, CVE-2026-63076, CVE-2026-75803
IAVA: 2026-A-0878-S
USN: 8678-1