Oracle Solaris 第三方修補程式更新：openssl (lucky_thirteen_vulnerability_in_solaris)

medium Nessus Plugin ID 80719

語系：

概要

遠端 Solaris 系統缺少一個第三方軟體的安全性修補程式。

說明

遠端 Solaris 系統缺少處理安全性更新的必要修補程式：

- 0.9.8y 版之前、1.0.0k 之前的 1.0.0 版、1.0.1d 之前的 1.0.1 版 OpenSSL 未針對 OCSP 回應正確執行簽章驗證，其允許遠端 OCSP 伺服器透過無效的金鑰，造成拒絕服務 (NULL 指標解除參照和應用程式損毀)。
(CVE-2013-0166)

- OpenSSL、OpenJDK、PolarSSL 及其他產品中所用的 TLS 通訊協定 1.1 和 1.2，以及 DTLS 通訊協定 1.0 和 1.2，在處理格式錯誤的 CBC 填補時，未正確考量 MAC 檢查需求的計時側通道攻擊，其允許遠端攻擊者對特製封包的定時資料進行統計分析，從而發動區別性攻擊和純文字復原攻擊，也就是「Lucky Thirteen」攻擊。(CVE-2013-0169)