VMSA-2014-0006:VMware 產品更新可解決 OpenSSL 安全性弱點

high Nessus Plugin ID 74465

Synopsis

遠端 VMware ESXi 主機缺少一或多個與安全性相關的修補程式。

描述

a. 多個產品的 OpenSSL 更新。

多個產品中的 OpenSSL 程式庫皆已更新至 0.9.8za 與 1.0.1h 版,以解決多個安全性問題。
Common Vulnerabilities and Exposures 專案 (cve.mitre.org) 已指派名稱 CVE-2014-0224、CVE-2014-0198、 CVE-2010-5298、CVE-2014-3470、CVE-2014-0221 和 CVE-2014-0195 給這些問題。這些問題中最重要的是 CVE-2014-0224。

CVE-2014-0198、CVE-2010-5298 與 CVE-2014-3470 被視為中等嚴重性。由於應用程式組態的原因,惡意利用的可能性極低或其影響已減輕。

列於 OpenSSL 安全性公告中的 CVE-2014-0221 與 CVE-2014-0195 (請參閱以下的〈參照〉一節) 不影響任何 VMware 產品。

如果伺服器正在執行容易遭受入侵的 OpenSSL 1.0.1 版,且用戶端正在執行容易遭受入侵的 OpenSSL 0.9.8 或 1.0.1 版,CVE-2014-0224 可能導致攔截式攻擊。更新伺服器將針對伺服器與所有受影響的用戶端減輕此問題。

根據產品是用戶端還是伺服器,以及產品所使用的是哪個版本的 OpenSSL 而定,CVE-2014-0224 對產品造成的影響可能不同。為了可讀性著想,受影響的產品根據不同的用戶端伺服器組態及部署狀況分成了以下 3 個表格。

減輕影響

與已修補或無弱點之伺服器通訊的用戶端不會受到 CVE-2014-0224 的影響。將這些修補程式套用至受影響的伺服器將減輕受影響用戶端的風險 (請參閱以下的表 1)。

若用戶端透過未受信任的網路 (例如公用 Wi-Fi) 與執行容易遭受入侵之 OpenSSL 1.0.1 版的伺服器通訊,可透過使用例如 VPN 之類的安全網路來減輕風險 (請參閱以下的表 2)。
在隔離網路上部署的用戶端與伺服器比較不容易產生 CVE-2014-0224 的問題 (請參閱以下的表 3)。受影響的產品通常會部署為透過管理網路進行通訊。

建議

現已發佈適用的修補程式,VMware 建議客戶針對下表 1 中的受影響伺服器,進行評估並部署修補程式。修補這些伺服器將使 CVE-2014-0224 中描述的弱點在用戶端與伺服器上都不會遭到惡意利用。

VMware 建議客戶考慮視需要將修補程式套用至表 2 與 3 中列出的產品。

以下表格的欄 4 列有修復各版弱點所需的動作 (若有解決方案可用)。

表 1 ======= 執行容易遭受入侵之 OpenSSL 1.0.1 版的受影響伺服器

解決方案

套用遺漏的修補程式。

另請參閱

http://lists.vmware.com/pipermail/security-announce/2014/000276.html

Plugin 詳細資訊

嚴重性: High

ID: 74465

檔案名稱: vmware_VMSA-2014-0006.nasl

版本: 1.46

類型: local

已發布: 2014/6/11

已更新: 2021/1/6

風險資訊

VPR

風險因素: High

分數: 8.3

CVSS v2

風險因素: Medium

基本分數: 5.8

時間分數: 4.8

媒介: AV:N/AC:M/Au:N/C:P/I:P/A:N

時間媒介: E:F/RL:OF/RC:C

CVSS v3

風險因素: High

基本分數: 7.4

時間分數: 6.9

媒介: CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N

時間媒介: E:F/RL:O/RC:C

弱點資訊

CPE: cpe:/o:vmware:esxi:5.0, cpe:/o:vmware:esxi:5.1, cpe:/o:vmware:esxi:5.5

必要的 KB 項目: Host/local_checks_enabled, Host/VMware/release, Host/VMware/version

可被惡意程式利用: true

可輕鬆利用: Exploits are available

修補程式發佈日期: 2014/6/10

弱點發布日期: 2014/4/14

惡意利用途徑

Core Impact

參考資訊

CVE: CVE-2010-5298, CVE-2014-0198, CVE-2014-0224, CVE-2014-3470

BID: 67899

VMSA: 2014-0006