AIX OpenSSL 公告：openssl_advisory.asc

critical Nessus Plugin ID 73559

語系：

概要

遠端 AIX 主機正在執行有弱點的 OpenSSL 版本。

說明

遠端主機上執行的 OpenSSL 版本受到下列弱點影響：

- 在 TLS 連線中，某些格式不正確的記錄可造成 OpenSSL 用戶端或伺服器因 NULL 時的讀取嘗試而當機。OpenSSL 0.9.8m 之前的版本並未檢查來自 (1) crypto/bn/bn_div.c、(2) crypto/bn/bn_gf2m.c、(3) crypto/ec/ec2_smpl.c 和 (4) engines/e_ubsec.c 中 bn_wexpand 函式的 NULL 傳回值，這會造成不明影響及內容相依的攻擊向量。(CVE-2009-3245)

在 OpenSSL 0.9.8n 之前的版本中，當已啟用 Kerberos 但無法開啟 Kerberos 組態檔時，ssl/kssl.c 的 kssl_keytab_is_available 函式並未檢查特定傳回值，進而允許遠端攻擊者透過 SSL 密碼交涉造成拒絕服務 (NULL 指標解除參照和程序損毀)，Dovecot 或 stunnel 的 chroot 安裝但 chroot 中無 Kerberos 組態檔即為一例。(CVE-2010-0433)

- 在 OpenSSL 0.9.8f 至 0.9.8m 版中，ssl/s3_pkt.c 的 ssl3_get_record 函式允許遠端攻擊者透過 TLS 連線中格式錯誤的記錄，觸發 NULL 指標解除參照，進而造成拒絕服務 (當機)；這與次要版本號碼相關。(CVE-2010-0740)

解決方案

現已提供修正，可從 AIX 網站下載。

若要從 tar 檔擷取修正：

zcat openssl.0.9.8.1103.tar.Z | tar xvf - 或 zcat openssl-fips.12.9.8.1103.tar.Z | tar xvf - 或 zcat openssl.0.9.8.806.tar.Z | tar xvf -

重要事項：如果可行，建議建立系統的 mksysb 備份。請在繼續操作前驗證 bootable 和 readable。

若要預覽修正安裝：

installp -apYd . openssl

若要安裝修正套件：

installp -aXYd . openssl