CentOS 6 / 7 : openssl (CESA-2014:1652)

high Nessus Plugin ID 78516

Synopsis

遠端 CentOS 主機缺少一個或多個安全性更新。

描述

現已提供適用於 Red Hat Enterprise Linux 6 和 7 的更新版 OpenSSL 套件,其中含有一個反向移植修補程式,可減輕 CVE-2014-3566 問題 (稱為降級的舊版 SSLv3 Padding Oracle 加密弱點 (POODLE)),並修正兩個安全性問題。

Red Hat 產品安全性團隊已將此更新評等為具有重要安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數,其中包含有關嚴重性評等的詳細資訊。

OpenSSL 不但是實作「安全通訊端層」(SSL)、「傳輸層安全性」(TLS) 與「資料包傳輸層安全性」 (DTLS) 通訊協定的工具組,還是一套完整的通用密碼編譯程式庫。

此更新新增了 TLS 遞補訊號加密套件值 (TLS_FALLBACK_SCSV) 的支援,其可用於防止對應用程式發動通訊協定降級攻擊,該應用程式在指定最高支援通訊協定版本的初次連線失敗時,會使用較舊的 SSL/TLS 通訊協定版本重新連線。

這可阻止強制降級與 SSL 3.0 的通訊。
據發現,在加密區塊鏈結 (CBC) 模式下使用區塊加密套件時,SSL 3.0 通訊協定容易受到 padding oracle 攻擊。此問題識別為 CVE-2014-3566,別名又稱為 POODLE。未來的更新不會解決這個 SSL 3.0 通訊協定瑕疵;為了安全通訊,建議使用者將其應用程式設為至少需要 TLS 通訊協定 1.0 版。

如需有關此瑕疵的其他資訊,請參閱知識庫文章,網址為:https://access.redhat.com/articles/1232123

在 OpenSSL 剖析 DTLS 安全即時傳輸通訊協定 (SRTP) 延伸資料的方式中發現一個記憶體洩漏瑕疵。遠端攻擊者可傳送多個特製的交握訊息以耗盡 SSL/TLS 或 DTLS 伺服器的所有可用記憶體。(CVE-2014-3513)

在 OpenSSL 處理失敗工作階段票證完整性檢查的方式中發現一個記憶體洩漏瑕疵。遠端攻擊者可傳送大量無效的工作階段票證給 SSL/TLS 或 DTLS 伺服器,藉以耗盡該伺服器的所有可用記憶體。(CVE-2014-3567)

建議所有 OpenSSL 使用者皆升級至這些更新版套件,其中含有反向移植修補程式,可減輕 CVE-2014-3566 問題,並更正 CVE-2014-3513 和 CVE-2014-3567 問題。若要使更新生效,連結到 OpenSSL 程式庫的所有服務 (如 httpd 和其他啟用 SSL 的服務) 都必須重新啟動或系統重新開機。

解決方案

更新受影響的 openssl 套件。

另請參閱

http://www.nessus.org/u?d5a8460d

http://www.nessus.org/u?4b0ea329

https://www.imperialviolet.org/2014/10/14/poodle.html

https://www.openssl.org/~bodo/ssl-poodle.pdf

https://tools.ietf.org/html/draft-ietf-tls-downgrade-scsv-00

Plugin 詳細資訊

嚴重性: High

ID: 78516

檔案名稱: centos_RHSA-2014-1652.nasl

版本: 1.22

類型: local

代理程式: unix

已發布: 2014/10/17

已更新: 2021/1/4

支持的傳感器: Frictionless Assessment Agent, Frictionless Assessment AWS, Frictionless Assessment Azure

風險資訊

VPR

風險因素: Medium

分數: 5.4

CVSS v2

風險因素: High

基本分數: 7.1

時間分數: 5.3

媒介: AV:N/AC:M/Au:N/C:N/I:N/A:C

時間媒介: E:U/RL:OF/RC:C

弱點資訊

CPE: p-cpe:/a:centos:centos:openssl, p-cpe:/a:centos:centos:openssl-devel, p-cpe:/a:centos:centos:openssl-libs, p-cpe:/a:centos:centos:openssl-perl, p-cpe:/a:centos:centos:openssl-static, cpe:/o:centos:centos:6, cpe:/o:centos:centos:7

必要的 KB 項目: Host/local_checks_enabled, Host/CentOS/release, Host/CentOS/rpm-list

可輕鬆利用: No known exploits are available

修補程式發佈日期: 2014/10/16

弱點發布日期: 2014/10/14

參考資訊

CVE: CVE-2014-3513, CVE-2014-3566, CVE-2014-3567

BID: 70574, 70584, 70586

CERT: 577193

RHSA: 2014:1652