AIX OpenSSL 公告：openssl_advisory4.asc

high Nessus Plugin ID 73562

語系：

概要

遠端 AIX 主機正在執行有弱點的 OpenSSL 版本。

說明

遠端主機上執行的 OpenSSL 版本受到下列弱點影響：

- 在 OpenSSL 中，密碼編譯訊息語法 (CMS) 和 PKCS #7 的實作未正確限制特定 oracle 行為，使內容相依的攻擊者更容易透過 Million Message Attack (MMA) 自適型選擇密碼文字攻擊，進一步解密資料。(CVE-2012-0884)

- 在 OpenSSL 中，crypto/asn1/asn_mime.c 的 mime_param_cmp 函式允許遠端攻擊者透過特製的 S/MIME 訊息，造成拒絕服務 (NULL 指標解除參照和應用程式損毀)；此弱點於 CVE-2006-7250 不同。(CVE-2012-1165)

- 在 OpenSSL 中，crypto/asn1/a_d2i_fp.c 的 asn1_d2i_read_bio 函式未正確解譯整數資料，其允許遠端攻擊者透過特製的 DER 資料發動緩衝區溢位攻擊，並造成拒絕服務 (記憶體損毀)，或可能造成其他不明影響，X.509 憑證或 RSA 公開金鑰即為一例。(CVE-2012-2110)

- 在 OpenSSL 中，crypto/buffer/buffer.c 中有整數正負號錯誤，允許遠端攻擊者透過特製的 DER 資料發動緩衝區溢位攻擊，並造成拒絕服務 (記憶體損毀)，或可能造成其他不明影響，X.509 憑證或 RSA 公開金鑰即為一例。注意：此弱點之所以存在，是因為 CVE-2012-2110 的修正不完整。(CVE-2012-2131)

- OpenSSL 中有一個整數反向溢位，在將 TLS 1.1、TLS 1.2 或 DTLS 與 CBC 加密搭配使用時，允許遠端攻擊者在特定且明確的 IV 計算期間，不正確地處理特製 TLS 封包，從而造成拒絕服務 (緩衝區過度讀取) 或可能造成其他不明影響。(CVE-2012-2333)

解決方案

現已提供修正，可從 AIX 網站下載。

若要從 tar 檔擷取修正：

zcat openssl-0.9.8.1802.tar.Z | tar xvf - or zcat openssl-fips-12.9.8.1802.tar.Z | tar xvf - 重要事項：

重要事項：如果可行，建議建立系統的 mksysb 備份。請在繼續操作前驗證 bootable 和 readable。

若要預覽修正安裝：

installp -apYd . openssl

若要安裝修正套件：

installp -aXYd . openssl