AIX OpenSSL 公告：openssl_advisory6.asc

medium Nessus Plugin ID 73564

語系：

概要

遠端 AIX 主機正在執行有弱點的 OpenSSL 版本。

說明

遠端主機上執行的 OpenSSL 版本受到下列弱點影響：

- 特製無效 TLS 交握可造成 NULL 指標例外狀況而損毀 OpenSSL。惡意伺服器可利用此瑕疵造成連線用戶端損毀。
受此問題影響的只有 OpenSSL 1.0.1 版。
(CVE-2013-4353)

- DTLS 處理程序有一個瑕疵，可造成使用 OpenSSL 和 DTLS 的應用程式損毀。對於比 1.0.0 舊的 OpenSSL 而言這不是弱點。OpenSSL 容易受到拒絕服務影響，此弱點是因為不當維護 DTLS 重新傳輸實作的摘要和加密內容資料結構所導致。遠端攻擊者可惡意利用此弱點，造成程序損毀。(CVE-2013-6450)

- OpenSSL 中有一個瑕疵，其可造成使用 OpenSSL 的應用程式在使用 TLS 1.2 版時發生損毀。受此問題影響的只有 OpenSSL 1.0.1 版。OpenSSL 因 ssl_get_algorithm2 函式中的一個錯誤，而容易受到拒絕服務的影響。遠端攻擊者可惡意利用此弱點，使用來自 TLS 1.2 用戶端的特製流量，造成程序損毀。(CVE-2013-6449)

解決方案

現已提供修正，可從 AIX 網站下載。

若要從 tar 檔擷取修正：

zcat openssl-1.0.1.501.tar.Z | tar xvf -

重要：如果可行，建議建立系統的 mksysb 備份。請在繼續操作前驗證 bootable 和 readable。

若要預覽修正安裝：

installp -apYd . openssl

若要安裝修正套件：

installp -aXYd . openssl