OracleVM 3.3：openssl (OVMSA-2014-0032) (Heartbleed) (POODLE)

high Nessus Plugin ID 79547

語系：

概要

遠端 OracleVM 主機缺少一個安全性更新。

描述

遠端 OracleVM 系統缺少可解決重要安全性更新的必要修補程式：

- 修正 CVE-2014-3567 - 處理工作階段票證時的記憶體洩漏

- 修正 CVE-2014-3513 - srtp 支援中的記憶體洩漏

- 新增遞補 SCSV 支援，以在一定程度上減輕問題影響 (CVE-2014-3566) (SSL3 上有填補攻擊)

- 將 ECC TLS 延伸模組新增至 DTLS (#1119800)

- 修正 CVE-2014-3505 - DTLS 封包處理過程中的重複釋放問題

- 修正 CVE-2014-3506 - 避免 DTLS 中的記憶體耗盡

- 修正 CVE-2014-3507 - 避免 DTLS 中的記憶體洩漏

- 修正 CVE-2014-3508 - 修正 OID 處理，以避免資訊洩漏

- 修正 CVE-2014-3509 - 修正剖析 server hello 時的爭用情形

- 修正 CVE-2014-3510 - 修正 DTLS 中匿名 (EC)DH 處理的 DoS

- 修正 CVE-2014-3511 - 不允許透過分割進行通訊協定降級

- 修正損毀 EAP-FAST 工作階段恢復支援的 CVE-2014-0224 修正

- 放置來自預設密碼清單的 EXPORT、RC2 和 DES (#1057520)

- 列印在 TLS 交握中交涉的暫時金鑰大小 (#1057715)

- 不將 ECC 加密套件包含在 SSLv2 用戶端 hello 中 (#1090952)

- 正確偵測 BIO 中的加密失敗 (#1100819)

- 如果 .hmac 檔案為空白，在 hmac 完整性檢查時失敗 (#1105567)

- FIPS 模式：僅在設定 OPENSSL_ENFORCE_MODULUS_BITS 環境變數的情況下，將對 DSA、DH 和 RSA keygen 長度的限制設定為強制執行

- 修正 CVE-2010-5298 - 潛在的記憶體釋放後使用

- 修正 CVE-2014-0195 - 透過無效 DTLS 片段發生的緩衝區溢位

- 修正 CVE-2014-0198 - 潛在的 NULL 指標解除參照

- 修正 CVE-2014-0221 - 來自無效 DTLS 交握封包的 DoS

- 修正 CVE-2014-0224 - SSL/TLS MITM 弱點

- 修正 CVE-2014-3470 - 使用匿名 ECDH 時的用戶端 DoS

- 重新新增對 secp521r1 EC 曲線的支援

- 修正 CVE-2014-0160 - TLS 活動訊號延伸模組中的資訊洩漏

- 在 FIPS 自我測試中使用 2048 位元 RSA 金鑰

- 新增 FIPS CAVS 測試所需要的 DH_compute_key_padded

- 使 3des 強度為 128 位元，而不是 168 (#1056616)

- FIPS 模式：不產生 DSA 金鑰和 DH 參數 < 2048 位元

- FIPS 模式：使用核准的 RSA keygen (僅允許 2048 和 3072 位元金鑰)

- FIPS 模式：新增 DH 自我測試

- FIPS 模式：在 RAND_add 上正確重新植入 DRBG

- FIPS 模式：新增 RSA 加密/解密自我測試

- FIPS 模式：新增對具有相同金鑰之 2^32 GCM 區塊加密的硬性限制

- 在叫用 req -newkey rsa 的情況下，使用
來自組態檔的金鑰長度

- 修正 CVE-2013-4353 - 無效的 TLS 交握損毀

- 修正 CVE-2013-6450 - 對 DTLS1 的潛在 MiTM 攻擊

- 修正 CVE-2013-6449 - SSL 結構中的版本不正確時的損毀

- 重新新增不慎捨棄的一些非 op 符號