VMSA-2014-0006：VMware 產品更新可解決 OpenSSL 安全性弱點
high Nessus Plugin ID 74465
語系：
概要
遠端 VMware ESXi 主機缺少一或多個與安全性相關的修補程式。說明
a. 多個產品的 OpenSSL 更新。多個產品中的 OpenSSL 程式庫皆已更新至 0.9.8za 與 1.0.1h 版，以解決多個安全性問題。
Common Vulnerabilities and Exposures 專案 (cve.mitre.org) 已指派名稱 CVE-2014-0224、CVE-2014-0198、 CVE-2010-5298、CVE-2014-3470、CVE-2014-0221 和 CVE-2014-0195 給這些問題。這些問題中最重要的是 CVE-2014-0224。
CVE-2014-0198、CVE-2010-5298 與 CVE-2014-3470 被視為中等嚴重性。由於應用程式組態的原因，惡意利用的可能性極低或其影響已減輕。
列於 OpenSSL 安全性公告中的 CVE-2014-0221 與 CVE-2014-0195 (請參閱以下的〈參照〉一節) 不影響任何 VMware 產品。
如果伺服器正在執行容易遭受入侵的 OpenSSL 1.0.1 版，且用戶端正在執行容易遭受入侵的 OpenSSL 0.9.8 或 1.0.1 版，CVE-2014-0224 可能導致攔截式攻擊。更新伺服器將針對伺服器與所有受影響的用戶端減輕此問題。
根據產品是用戶端還是伺服器，以及產品所使用的是哪個版本的 OpenSSL 而定，CVE-2014-0224 對產品造成的影響可能不同。為了可讀性著想，受影響的產品根據不同的用戶端伺服器組態及部署狀況分成了以下 3 個表格。
減輕影響
與已修補或無弱點之伺服器通訊的用戶端不會受到 CVE-2014-0224 的影響。將這些修補程式套用至受影響的伺服器將減輕受影響用戶端的風險 (請參閱以下的表 1)。
若用戶端透過未受信任的網路 (例如公用 Wi-Fi) 與執行容易遭受入侵之 OpenSSL 1.0.1 版的伺服器通訊，可透過使用例如 VPN 之類的安全網路來減輕風險 (請參閱以下的表 2)。
在隔離網路上部署的用戶端與伺服器比較不容易產生 CVE-2014-0224 的問題 (請參閱以下的表 3)。受影響的產品通常會部署為透過管理網路進行通訊。
建議
現已發佈適用的修補程式，VMware 建議客戶針對下表 1 中的受影響伺服器，進行評估並部署修補程式。修補這些伺服器將使 CVE-2014-0224 中描述的弱點在用戶端與伺服器上都不會遭到惡意利用。
VMware 建議客戶考慮視需要將修補程式套用至表 2 與 3 中列出的產品。
以下表格的欄 4 列有修復各版弱點所需的動作 (若有解決方案可用)。
表 1 ======= 執行容易遭受入侵之 OpenSSL 1.0.1 版的受影響伺服器
解決方案
套用遺漏的修補程式。另請參閱
http://lists.vmware.com/pipermail/security-announce/2014/000276.html
Plugin 詳細資訊
嚴重性: High
ID: 74465
檔案名稱: vmware_VMSA-2014-0006.nasl
版本: 1.46
類型: local
已發布: 2014/6/11
已更新: 2021/1/6
支援的感應器: Nessus
風險資訊
VPR
風險因素: High
分數: 7.7
CVSS v2
風險因素: Medium
基本分數: 5.8
時間分數: 4.8
媒介: CVSS2#AV:N/AC:M/Au:N/C:P/I:P/A:N
CVSS v3
風險因素: High
基本分數: 7.4
時間分數: 6.9
媒介: CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N
時間媒介: CVSS:3.0/E:F/RL:O/RC:C
弱點資訊
CPE: cpe:/o:vmware:esxi:5.0, cpe:/o:vmware:esxi:5.1, cpe:/o:vmware:esxi:5.5
必要的 KB 項目: Host/local_checks_enabled, Host/VMware/release, Host/VMware/version
可被惡意程式利用: true
可輕鬆利用: Exploits are available
修補程式發佈日期: 2014/6/10
弱點發布日期: 2014/4/14
可惡意利用
Core Impact
參考資訊
CVE: CVE-2010-5298, CVE-2014-0198, CVE-2014-0224, CVE-2014-3470
BID: 67899
VMSA: 2014-0006