AIX OpenSSL 公告:openssl_advisory10.asc

high Nessus Plugin ID 77603

概要

遠端 AIX 主機安裝的 OpenSSL 版本受到多個弱點影響。

說明

遠端主機上安裝的 OpenSSL 版本受到下列弱點影響:

- 存在與處理 DTLS 封包相關的記憶體重複釋放錯誤,可導致拒絕服務攻擊。
(CVE-2014-3505)

- 存在與處理 DTLS 交握訊息相關的不明錯誤,由於系統耗用大量記憶體,會可導致拒絕服務攻擊。
(CVE-2014-3506)

- 存在與處理特製 DTLS 封包相關的記憶體洩漏錯誤,可導致拒絕服務攻擊。(CVE-2014-3507)

- 存在與「OBJ_obj2txt」和美化列印「X509_name_*」函式的錯誤,洩漏堆疊資料,進而導致資訊洩漏。(CVE-2014-3508)

- 存在與處理「ec point format extension」和多執行緒用戶端相關的錯誤,可導致釋出的記憶體在繼續工作階段期間遭覆寫。
(CVE-2014-3509)

- 存在與處理匿名 ECDH 加密套件和特製交握訊息相關的 NULL 指標解除參照錯誤,可導致針對用戶端的拒絕服務攻擊。(CVE-2014-3510)

- 存在與處理分段「ClientHello」訊息相關的錯誤,儘管伺服器和用戶端皆支援較高層級的通訊協定,仍可能允許攔截式攻擊者強制使用 TLS 1.0。(CVE-2014-3511)

- 存在與處理具有不明影響之「安全遠端密碼」通訊協定 (SRP) 參數相關的緩衝區溢位錯誤。(CVE-2014-3512)

- 存在與處理「安全遠端密碼」通訊協定 (SRP) 相關的 NULL 指標解除參照錯誤,允許惡意伺服器損毀用戶端,進而導致拒絕服務。(CVE-2014-5139)

解決方案

現已提供修正,可從 AIX 網站下載。

重要事項:如果可行,建議建立系統的 mksysb 備份。請在繼續操作前確認其為可開機及可讀取。

另請參閱

https://aix.software.ibm.com/aix/efixes/security/openssl_advisory10.asc

https://www14.software.ibm.com/webapp/iwm/web/preLogin.do?source=aixbp

https://www.openssl.org/news/secadv/20140806.txt

Plugin 詳細資訊

嚴重性: High

ID: 77603

檔案名稱: aix_openssl_advisory10.nasl

版本: 1.11

類型: local

已發布: 2014/9/10

已更新: 2023/4/21

支援的感應器: Nessus

風險資訊

VPR

風險因素: Medium

分數: 5.9

CVSS v2

風險因素: High

基本分數: 9.3

時間分數: 8.1

媒介: CVSS2#AV:N/AC:M/Au:N/C:C/I:C/A:C

弱點資訊

CPE: cpe:/o:ibm:aix, cpe:/a:openssl:openssl

必要的 KB 項目: Host/AIX/lslpp, Host/local_checks_enabled, Host/AIX/version

可輕鬆利用: No known exploits are available

修補程式發佈日期: 2014/9/5

弱點發布日期: 2014/8/6

參考資訊

CVE: CVE-2014-3505, CVE-2014-3506, CVE-2014-3507, CVE-2014-3508, CVE-2014-3509, CVE-2014-3510, CVE-2014-3511, CVE-2014-3512, CVE-2014-5139

BID: 69075, 69076, 69077, 69078, 69079, 69081, 69082, 69083, 69084