- Update to 2.16.8

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora update system website.
Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

The remote Debian 10 host has packages installed that are affected by multiple vulnerabilities as referenced in the dla-3249 advisory.

    -------------------------------------------------------------------------     Debian LTS Advisory DLA-3249-1                debian-lts@lists.debian.org     https://www.debian.org/lts/security/                      Markus Koschany     December 26, 2022                             https://wiki.debian.org/LTS
    -------------------------------------------------------------------------

    Package        : mbedtls     Version        : 2.16.9-0~deb10u1     CVE ID         : CVE-2019-16910 CVE-2019-18222 CVE-2020-10932 CVE-2020-10941                      CVE-2020-16150 CVE-2020-36421 CVE-2020-36422 CVE-2020-36423                      CVE-2020-36424 CVE-2020-36425 CVE-2020-36426 CVE-2020-36475                      CVE-2020-36476 CVE-2020-36478 CVE-2021-24119 CVE-2021-43666                      CVE-2021-44732 CVE-2022-35409     Debian Bug     : 941265 963159 972806 1002631

    Multiple security vulnerabilities have been discovered in mbedtls, a     lightweight crypto and SSL/TLS library, which may allow attackers to obtain     sensitive information like the RSA private key or cause a denial of service     (application or server crash).

    For Debian 10 buster, these problems have been fixed in version     2.16.9-0~deb10u1.

    We recommend that you upgrade your mbedtls packages.

    For the detailed security status of mbedtls please refer to     its security tracker page at:
    https://security-tracker.debian.org/tracker/mbedtls

    Further information about Debian LTS security advisories, how to apply     these updates to your system and frequently asked questions can be     found at: https://wiki.debian.org/LTS     Attachment:
    signature.asc     Description: This is a digitally signed message part

Tenable has extracted the preceding description block directly from the Debian security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

リモートの Debian 10 ホストには、dla-3249 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 2.19.0 より前の Arm Mbed TLS および 2.0.0 より前の Arm Mbed Crypto では、決定論的 ECDSA が有効な場合、ブラインドに対して不十分なエントロピーのRNGを使用します。これにより、被害者が同じメッセージに何度も署名すると、攻撃者がサイドチャネル攻撃で秘密鍵を復元できる可能性があります。(Mbed TLS の場合、修正はバージョン 2.7.12 および 2.16.3 でも利用可能です。) (CVE-2019-16910)

  - Arm Mbed Crypto 2.1 および 2.19.1 までの Mbed TLS の ecdsa.c の ECDSA 署名実装は、逆数を計算する前にブラインドスカラーを削減しません。これにより、ローカルの攻撃者がサイドチャネル攻撃で秘密鍵を復元する可能性があります。(CVE-2019-18222)

  - 2.16.6 より前の Arm Mbed TLS および 2.7.15 より前の 2.7.x で問題が見つかりました。サイドチャネルを十分に正確に測定できる攻撃者は、以下の方法で長期的な ECDSA 秘密鍵を復元できます。(1) アフィン座標への変換でサイドチャネルを利用してスカラー倍算の結果の射影座標を再構築する。(2) 2003 年に Naccache、Smart、Stern によって報告された攻撃を利用して、いくつかの測定を通じて、これらの射影座標から一時的なスカラーの数ビットを復元します。(3) ラティス攻撃を使用して、そこから署名に使用する長期 ECDSA 秘密鍵を得る。
    通常、攻撃者は SGX エンクレーブを攻撃し、信頼できない OS をコントロールする場合、十分なアクセス権を持っているはずです。(CVE-2020-10932)

  - 2.16.5 より前の Arm Mbed TLS は、インポート中にキャッシュ使用率を測定することで、攻撃者が機密情報 (RSA 秘密鍵) を取得する可能性があります。(CVE-2020-10941)

  - 2.23.0 までの Trusted Firmware Mbed TLS の library/ssl_msg.c の mbedtls_ssl_decrypt_buf の Lucky 13 タイミングサイドチャネルにより、攻撃者は秘密鍵情報を復元できます。これは、パディング長に基づいて計算された時間差のため、CBC モードに影響します。(CVE-2020-16150)

  - 2.23.0 より前の Arm Mbed TLS で問題が見つかりました。冪剰余のサイドチャネルにより、安全なエンクレーブで使用される RSA 秘密鍵が漏洩する可能性があります。(CVE-2020-36421)

  - 2.23.0 より前の Arm Mbed TLS で問題が見つかりました。サイドチャネルにより、mbedtls_ecp_check_pub_priv、mbedtls_pk_parse_key、mbedtls_pk_parse_keyfile、mbedtls_ecp_mul、mbedtls_ecp_mul_restartable に関連する ECC 秘密鍵の回復が可能になります。(CVE-2020-36422)

  - 2.23.0 より前の Arm Mbed TLS で問題が見つかりました。特定の Lucky 13 対策がハードウェアアクセラレータのケースを適切に考慮していないため、リモート攻撃者が平文を復元する可能性があります。
    (CVE-2020-36423)

  - 2.24.0 より前の Arm Mbed TLS で問題が見つかりました。攻撃者は、ベースブラインディング/アンブラインディング値の生成に対するサイドチャネル攻撃を介して、秘密鍵 (RSA または静的ディフィー・ヘルマン用) を回復できます。
    (CVE-2020-36424)

  - 2.24.0 より前の Arm Mbed TLS で問題が見つかりました。CRL を介して証明書を失効させるかどうかを決定する際に、revocationDate のチェックを誤って使用します。状況によっては、攻撃者がローカルクロックを変更することでこれを悪用する可能性があります。(CVE-2020-36425)

  - 2.24.0 以前の Arm Mbed TLS で問題が検出されました。 mbedtls_x509_crl_parse_der に (1 バイトの) バッファオーバーリードがあります。(CVE-2020-36426)

  - 2.25.0 より前 (および 2.16.9 LTS より前と 2.7.18 LTS より前) の Mbed TLS に問題が発見されました。mbedtls_mpi_exp_mod によって実行される計算は制限されていません。したがって、過剰に大きなパラメーターを指定すると、Diffie-Hellman キーペアを生成する際にサービス拒否が発生する可能性があります。(CVE-2020-36475)

  - 2.24.0 より前 (および 2.16.8 LTS より前と 2.7.17 LTS より前) の Mbed TLS に問題が発見されました。未使用のアプリケーションデータをメモリから消去するための mbedtls_ssl_read の平文バッファのゼロ化が欠如しています。
    (CVE-2020-36476)

  - 2.25.0 より前 (および 2.16.9 LTS より前と 2.7.18 LTS より前) の Mbed TLS に問題が発見されました。NULL アルゴリズムパラメーターエントリは REAL(サイズゼロ) の配列と同一に見えるため、証明書は有効と見なされます。ただし、パラメーターがまったく一致しない場合、証明書は無効と見なされます。(CVE-2020-36478)

  - Trusted Firmware Mbed TLS 2.24.0 で、base64 PEM ファイルデコードのサイドチャネル脆弱性により、システムレベル (管理者) の攻撃者が、隔離された環境で実行されているソフトウェアの制御チャネル攻撃およびサイドチャネル攻撃を介して、秘密 RSA キーに関する情報を取得する可能性があります。これは、特に Intel SGX のシングルステップになる可能性があります。(CVE-2021-24119)

  - 入力パスワードの長さが 0 のとき、mbedtls_pkcs12_derivation 関数の mbed TLS 3.0.0 以前に、サービス拒否の脆弱性が存在します。(CVE-2021-43666)

  - mbedtls_ssl_set_session() の失敗によって実証されているように、 3.0.1 より前の Mbed TLS には、特定のメモリ不足状態で二重解放があります。(CVE-2021-44732)

  - 2.28.1 より前の Mbed TLS および 3.2.0 より前の 3.x で問題が見つかりました。一部の構成では、認証されていない攻撃者が無効な ClientHello メッセージを DTLS サーバーに送信し、最大 255 バイトのヒープベースのバッファオーバーリードを引き起こす可能性があります。これにより、サーバーのクラッシュや、エラー応答に基づく情報漏洩が発生する可能性があります。影響を受ける構成では、MBEDTLS_SSL_DTLS_CLIENT_PORT_REUSE が有効化されており、MBEDTLS_SSL_IN_CONTENT_LEN が以下の構成に依存するしきい値未満です。mbedtls_ssl_cookie_check を使用する場合は 258 バイト、カスタムクッキーチェック関数で最大 571 バイト。
    (CVE-2022-35409)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

- 2.16.8への更新

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

远程 Debian 10 主机上安装的程序包受到 dla-3249 公告中提及的多个漏洞影响。

  - 低于 2.19.0 的 Arm Mbed TLS 和低于 2.0.0 的 Arm Mbed Crypto 在启用具决定性的 ECDSA 的情况下，会使用熵不足的 RNG 进行伪装，如果受害者多次签署相同的消息，攻击者就可以通过边信道攻击恢复私人密钥。（对于 Mbed TLS，也可在版本 2.7.12 和 2.16.3 中取得该补丁。）(CVE-2019-16910)

  - 在 Arm Mbed Crypto 2.1、Mbed TLS 2.19.1 及其之前版本中，ecdsa.c 中的 ECDSA 签名实现在计算逆函数之前未减少盲标量，这允许本地攻击者通过边信道攻击恢复私钥。(CVE-2019-18222)

  - 在 Arm Mbed TLS 2.16.6 之前版本以及 2.7.15 之前的 2.7.x 版中发现了一个问题。能够获得足够精确的边信道测量值的攻击者可通过以下方法恢复长期 ECDSA 私钥：(1) 利用仿射坐标转换过程中的边信道，重建标量相乘结果的投影坐标；(2) 利用 Naccache、Smart 和 Stern 在 2003 年描述的一种攻击，通过若干测量值从这些投影坐标中恢复一些临时标量；(3) 使用格子攻击获取用于签名的长期 ECDSA 私钥。
    通常，攻击者在攻击 SGX 飞地并控制不受信任的操作系统时将拥有足够的访问权限。(CVE-2020-10932)

  - 低于 2.16.5 的 Arm Mbed TLS 允许攻击者通过在导入期间测量缓存使用情况来获取敏感信息（RSA 私钥）。(CVE-2020-10941)

  - 在受信任的固件 Mbed TLS 2.23.0 及其之前版本中，library/ssl_msg.c 的 mbedtls_ssl_decrypt_buf 中存在 Lucky 13 时序边信道，允许攻击者恢复密钥信息。这会影响 CBC 模式，因为是根据填充长度计算出时间差。(CVE-2020-16150)

  - 在 Arm Mbed TLS 2.23.0 之前版本中发现一个问题。由于模幂运算中存在边信道，因此在安全飞地中使用的 RSA 私钥可能会被泄露。(CVE-2020-36421)

  - 在 Arm Mbed TLS 2.23.0 之前版本中发现一个问题。边信道允许恢复与 mbedtls_ecp_check_pub_priv、mbedtls_pk_parse_key、mbedtls_pk_parse_keyfile、mbedtls_ecp_mul 和 mbedtls_ecp_mul_restartable 相关的 ECC 私钥。(CVE-2020-36422)

  - 在 Arm Mbed TLS 2.23.0 之前版本中发现一个问题。远程攻击者可以恢复明文密钥，这是因为某个 Lucky 13 对策未正确考虑硬件加速器的情况。
    (CVE-2020-36423)

  - 在 Arm Mbed TLS 2.24.0 之前版本中发现一个问题。攻击者可通过针对基础盲化/解密值的生成执行边信道攻击来恢复私钥（用于 RSA 或静态 Diffie-Hellman）。
    (CVE-2020-36424)

  - 在 Arm Mbed TLS 2.24.0 之前版本中发现一个问题。当决定是否通过 CRL 接受证书撤销时，它错误地使用了 revocationDate 检查。在某些情况下，攻击者可通过更改本地时钟来利用此漏洞。(CVE-2020-36425)

  - 在 2.24.0 之前的 Arm Mbed TLS 中发现一个问题。 mbedtls_x509_crl_parse_der 存在缓冲区过度读取（一个字节）。(CVE-2020-36426)

  - 在 2.25.0 之前（2.16.9 LTS 之前及 2.7.18 LTS 之前）的 Mbed TLS 中发现了一个问题。mbedtls_mpi_exp_mod 执行的计算不受限制；因此，在生成 Diffie-Hellman 密钥对时，提供过大参数可能会导致拒绝服务。(CVE-2020-36475)

  - 在 2.24.0 之前（2.16.8 LTS 之前及 2.7.17 LTS 之前）的 Mbed TLS 中发现了一个问题。mbedtls_ssl_read 中缺少用于从内存擦除未用应用程序数据的明文缓冲区归零。
    (CVE-2020-36476)

  - 在 2.25.0 之前（2.16.9 LTS 之前及 2.7.18 LTS 之前）的 Mbed TLS 中发现了一个问题。NULL 算法参数条目看起来与 REAL 数组（大小为零）相同，因此证书被视为有效。但是，如果参数在任何方面均不匹配，则证书应被视为无效。(CVE-2020-36478)

  - 在 Trusted Firmware Mbed TLS 2.24.0 中，base64 PEM 文件解码中存在一个边信道漏洞，此漏洞让系统级别（管理员）攻击者可以通过针对在隔离环境中运行的软件（单步执行，尤其是 Intel sgx）发起受控信道和边信道攻击，来获取有关秘密 RSA 密钥的信息。(CVE-2021-24119)

  - 当输入密码的长度为 0 时，mbed TLS 3.0.0 及更低版本的 mbedtls_pkcs12_derivation 函数中存在拒绝服务漏洞。(CVE-2021-43666)

  - 在某些内存不足的情况下，3.0.1 之前版本的 Mbed TLS 存在双重释放漏洞，这一点已由 mbedtls_ssl_set_session() 失败所证实。(CVE-2021-44732)

  - 在 Mbed TLS 2.28.1 之前版本以及 3.2.0 之前的 3.x 版中发现一个问题。在某些配置中，未经身份验证的攻击者可向 DTLS 服务器发送无效的 ClientHello 消息，从而造成最多 255 个字节的基于堆的缓冲区过度读取。根据错误响应，这可能导致服务器崩溃或信息泄露。受影响的配置启用了 MBEDTLS_SSL_DTLS_CLIENT_PORT_REUSE，并且 MBEDTLS_SSL_IN_CONTENT_LEN 小于取决于配置的阈值：使用 mbedtls_ssl_cookie_check 时为 258 个字节，使用自定义 Cookie 检查函数时可能多达 571 个字节。
    (CVE-2022-35409)

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号来判断。

遠端 Debian 10 主機上安裝的多個套件受到 dla-3249 公告中提及的多個弱點影響。

  - 2.19.0 版之前的 Arm Mbed TLS 和 2.0.0 版之前的 Arm Mbed Crypto 在啟用具決定性的 ECDSA 的情況下，會使用熵不足的 RNG 進行遮罩，如果受害者多次簽署相同的訊息，攻擊者就可以藉此透過旁路攻擊復原私密金鑰。(對於 Mbed TLS，也可在 2.7.12 和 2.16.3 版中取得此修正程式。) (CVE-2019-16910)

  - 在 Arm Mbed Crypto 2.1、Mbed TLS 2.19.1 及其之前版本中，ecdsa.c 中的 ECDSA 簽章實作未在計算逆函式之前減少遮盲純量，這允許本機攻擊者透過旁路攻擊復原私密金鑰。(CVE-2019-18222)

  - 在 Arm Mbed TLS 2.16.6 之前版本以及 2.7.15 之前的 2.7.x 版中發現一個問題。能夠獲得足夠精確的旁路測量值的攻擊者可透過下列方式複原長期 ECDSA 私密金鑰：(1) 在轉換為仿射座標時利用旁路，重建純量乘法結果的投影座標；(2) 使用 Naccache、Smart 和 Stern 在 2003 年描述的攻擊，透過數個測量值從這些投影座標復原數個暫時純量位元；(3) 使用格子攻擊取得用於簽章的長期 ECDSA 私密金鑰。
    通常，攻擊者在攻擊 SGX 飛地並控制未受信任的作業系統時，會擁有足夠的存取權。(CVE-2020-10932)

  - 2.16.5 版之前的 Arm Mbed TLS 允許攻擊者在匯入期間測量快取使用量，藉此取得敏感資訊 (RSA 私密金鑰)。(CVE-2020-10941)

  - 在受信任的韌體 Mbed TLS 2.23.0 及其之前版本中，library/ssl_msg.c 的 mbedtls_ssl_decrypt_buf 中存在 Lucky 13 計時側通道，攻擊者可以藉此復原私密金鑰資訊。這會影響 CBC 模式，這是因為根據填補長度計算出的時間差。(CVE-2020-16150)

  - 在 Arm Mbed TLS 2.23.0 之前版本中發現一個問題。由於模組化乘冪中有側通道，因此可洩漏安全飛地中使用的 RSA 私密金鑰。(CVE-2020-36421)

  - 在 Arm Mbed TLS 2.23.0 之前版本中發現一個問題。側通道允許復原與 mbedtls_ecp_check_pub_priv、mbedtls_pk_parse_key、mbedtls_pk_parse_keyfile、mbedtls_ecp_mul 和 mbedtls_ecp_mul_restartable 有關的 ECC 私密金鑰。(CVE-2020-36422)

  - 在 Arm Mbed TLS 2.23.0 之前版本中發現一個問題。遠端攻擊者可複原純文字，因為特定的 Lucky 13 對策未正確考量硬體加速器的情況。
    (CVE-2020-36423)

  - 在 Arm Mbed TLS 2.24.0 之前版本中發現一個問題。攻擊者可針對基底遮盲/解除遮盲值的產生，透過旁路攻擊復原 (RSA 或靜態 Diffie-Hellman) 的私密金鑰。
    (CVE-2020-36424)

  - 在 Arm Mbed TLS 2.24.0 之前版本中發現一個問題。在決定是否透過 CRL 接受憑證撤銷時，它錯誤地使用了 revocationDate 檢查。在某些情況下，攻擊者可透過變更本機時鐘來利用此弱點。(CVE-2020-36425)

  - 在 2.24.0 版之前的 Arm Mbed TLS 中發現一個問題。mbedtls_x509_crl_parse_der 存在緩衝區過度讀取 (一個位元組) 問題。(CVE-2020-36426)

  - 在 Mbed LTS 2.25.0 之前版本 (以及 2.16.9 之前的 LTS 和 2.7.18 之前的 LTS)  中發現一個問題。mbedtls_mpi_exp_mod 執行的計算不受限制，因此在產生 Diffie-Hellman 金鑰組時，提供過大的參數可導致程式拒絕服務。(CVE-2020-36475)

  - 在 Mbed LTS 2.24.0 之前版本 (以及 2.16.8 之前的 LTS 和 2.7.17 之前的 LTS)  中發現一個問題。mbedtls_ssl_read 中缺少純文字緩衝區歸零操作，無法清除記憶體中未使用的應用程式資料。
    (CVE-2020-36476)

  - 在 Mbed LTS 2.25.0 之前版本 (以及 2.16.9 之前的 LTS 和 2.7.18 之前的 LTS)  中發現一個問題。NULL 演算法參數項目看起來與 REAL (大小爲零) 陣列相同，因此該憑證被視為有效。但是，如果參數在任何情況下都不相符，則應將憑證視為無效。(CVE-2020-36478)

  - 在 Trusted Firmware Mbed TLS 2.24.0 中，base64 PEM 檔案解碼中存在旁路弱點，系統級 (系統管理員) 攻擊者可以透過對在可單步執行的隔離環境 (尤其是 Intel SGX) 中執行的軟體發動受控通道和旁路攻擊，來取得有關私密 RSA 金鑰的資訊。(CVE-2021-24119)

  - 當輸入密碼的長度為 0 時，mbed TLS 3.0.0 和更舊版本的 mbedtls_pkcs12_derivation 函式中存在拒絕服務弱點。(CVE-2021-43666)

  - 在某些記憶體不足的情況下，Med TLS 3.0.1 之前版本會發生重複釋放。mbedtls_ssl_set_session() 失敗即為一例。(CVE-2021-44732)

  - 在 Mbed TLS 2.28.1 之前版本以及 3.2.0 之前的 3.x 版中發現一個問題。在某些組態中，未經驗證的攻擊者可傳送無效的 ClientHello 訊息至 DTLS 伺服器，造成最多 255 個位元組的堆積型緩衝區過度讀取。這可造成伺服器當機，或可能根據錯誤回應造成資訊洩漏。受影響的組態已啟用 MBEDTLS_SSL_DTLS_CLIENT_PORT_REUSE，且 MBEDTLS_SSL_IN_CONTENT_LEN 小於視組態而定的閾值：如果使用 mbedtls_ssl_cookie_check，則為 258 位元組，若使用自訂 Cookie 檢查函式，則可能高達 571 位元組。
    (CVE-2022-35409)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機受到 GLSA-202301-08 中所述的弱點影響 (Mbed TLS：多個弱點)

  - 在受信任的韌體 Mbed TLS 2.23.0 及其之前版本中，library/ssl_msg.c 的 mbedtls_ssl_decrypt_buf 中存在 Lucky 13 計時側通道，攻擊者可以藉此復原私密金鑰資訊。這會影響 CBC 模式，這是因為根據填補長度計算出的時間差。(CVE-2020-16150)

  - 在 Arm Mbed TLS 2.23.0 之前版本中發現一個問題。由於模組化乘冪中有側通道，因此可洩漏安全飛地中使用的 RSA 私密金鑰。(CVE-2020-36421)

  - 在 Arm Mbed TLS 2.23.0 之前版本中發現一個問題。側通道允許復原與 mbedtls_ecp_check_pub_priv、mbedtls_pk_parse_key、mbedtls_pk_parse_keyfile、mbedtls_ecp_mul 和 mbedtls_ecp_mul_restartable 有關的 ECC 私密金鑰。(CVE-2020-36422)

  - 在 Arm Mbed TLS 2.23.0 之前版本中發現一個問題。遠端攻擊者可複原純文字，因為特定的 Lucky 13 對策未正確考量硬體加速器的情況。
    (CVE-2020-36423)

  - 在 Arm Mbed TLS 2.24.0 之前版本中發現一個問題。攻擊者可針對基底遮盲/解除遮盲值的產生，透過旁路攻擊復原 (RSA 或靜態 Diffie-Hellman) 的私密金鑰。
    (CVE-2020-36424)

  - 在 Arm Mbed TLS 2.24.0 之前版本中發現一個問題。在決定是否透過 CRL 接受憑證撤銷時，它錯誤地使用了 revocationDate 檢查。在某些情況下，攻擊者可透過變更本機時鐘來利用此弱點。(CVE-2020-36425)

  - 在 2.24.0 版之前的 Arm Mbed TLS 中發現一個問題。mbedtls_x509_crl_parse_der 存在緩衝區過度讀取 (一個位元組) 問題。(CVE-2020-36426)

  - 在 Mbed LTS 2.25.0 之前版本 (以及 2.16.9 之前的 LTS 和 2.7.18 之前的 LTS)  中發現一個問題。mbedtls_mpi_exp_mod 執行的計算不受限制，因此在產生 Diffie-Hellman 金鑰組時，提供過大的參數可導致程式拒絕服務。(CVE-2020-36475)

  - 在 Mbed LTS 2.24.0 之前版本 (以及 2.16.8 之前的 LTS 和 2.7.17 之前的 LTS)  中發現一個問題。mbedtls_ssl_read 中缺少純文字緩衝區歸零操作，無法清除記憶體中未使用的應用程式資料。
    (CVE-2020-36476)

  - 在 Mbed TLS  2.24.0 之前的版本中發現一個問題。將預期的共用名稱 (mbedtls_x509_crt_verify 的 cn 引數) 與實際憑證名稱比對時，驗證 X.509 憑證的處理方式有誤：當存在 subjecAltName 擴充時，無論其類型為何，系統都會將預期的名稱與該擴充中的任何名稱進行比較。這表示攻擊者可透過取得 IPv4 或 IPv6 位址對應的憑證來冒充 4 位元組或 16 位元組網域 (前提是攻擊者必須控制該 IP 位址)。(CVE-2020-36477)

  - 在 Mbed LTS 2.25.0 之前版本 (以及 2.16.9 之前的 LTS 和 2.7.18 之前的 LTS)  中發現一個問題。NULL 演算法參數項目看起來與 REAL (大小爲零) 陣列相同，因此該憑證被視為有效。但是，如果參數在任何情況下都不相符，則應將憑證視為無效。(CVE-2020-36478)

  - 當輸入密碼的長度為 0 時，mbed TLS 3.0.0 和更舊版本的 mbedtls_pkcs12_derivation 函式中存在拒絕服務弱點。(CVE-2021-43666)

  - 在某些記憶體不足的情況下，Med TLS 3.0.1 之前版本會發生重複釋放。mbedtls_ssl_set_session() 失敗即為一例。(CVE-2021-44732)

  - 在 Mbed TLS 2.28.0 之前的版本以及 3.1.0 之前的 3.x 版中，當輸出緩衝區位於未受信任的應用程式可存取的記憶體位置時，psa_cipher_generate_iv 和 psa_cipher_encrypt 允許略過政策或進行 oracle 解密。(CVE-2021-45450)

  - 在 Mbed TLS 2.28.1 之前版本以及 3.2.0 之前的 3.x 版中發現一個問題。在某些組態中，未經驗證的攻擊者可傳送無效的 ClientHello 訊息至 DTLS 伺服器，造成最多 255 個位元組的堆積型緩衝區過度讀取。這可造成伺服器當機，或可能根據錯誤回應造成資訊洩漏。受影響的組態已啟用 MBEDTLS_SSL_DTLS_CLIENT_PORT_REUSE，且 MBEDTLS_SSL_IN_CONTENT_LEN 小於視組態而定的閾值：如果使用 mbedtls_ssl_cookie_check，則為 258 位元組，若使用自訂 Cookie 檢查函式，則可能高達 571 位元組。
    (CVE-2022-35409)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 在受信任的韌體 Mbed TLS 2.23.0 及其之前版本中，library/ssl_msg.c 的 mbedtls_ssl_decrypt_buf 中存在 Lucky 13 計時側通道，攻擊者可以藉此復原私密金鑰資訊。這會影響 CBC 模式，這是因為根據填補長度計算出的時間差。(CVE-2020-16150)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在受信任的固件 Mbed TLS 2.23.0 及其之前版本中，library/ssl_msg.c 的 mbedtls_ssl_decrypt_buf 中存在 Lucky 13 时序边信道，允许攻击者恢复密钥信息。这会影响 CBC 模式，因为是根据填充长度计算出时间差。(CVE-2020-16150)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程主机受到 GLSA-202301-08 中所述漏洞的影响（Mbed TLS：多个漏洞）

  - 在受信任的固件 Mbed TLS 2.23.0 及其之前版本中，library/ssl_msg.c 的 mbedtls_ssl_decrypt_buf 中存在 Lucky 13 时序边信道，允许攻击者恢复密钥信息。这会影响 CBC 模式，因为是根据填充长度计算出时间差。(CVE-2020-16150)

  - 在 Arm Mbed TLS 2.23.0 之前版本中发现一个问题。由于模幂运算中存在边信道，因此在安全飞地中使用的 RSA 私钥可能会被泄露。(CVE-2020-36421)

  - 在 Arm Mbed TLS 2.23.0 之前版本中发现一个问题。边信道允许恢复与 mbedtls_ecp_check_pub_priv、mbedtls_pk_parse_key、mbedtls_pk_parse_keyfile、mbedtls_ecp_mul 和 mbedtls_ecp_mul_restartable 相关的 ECC 私钥。(CVE-2020-36422)

  - 在 Arm Mbed TLS 2.23.0 之前版本中发现一个问题。远程攻击者可以恢复明文密钥，这是因为某个 Lucky 13 对策未正确考虑硬件加速器的情况。
    (CVE-2020-36423)

  - 在 Arm Mbed TLS 2.24.0 之前版本中发现一个问题。攻击者可通过针对基础盲化/解密值的生成执行边信道攻击来恢复私钥（用于 RSA 或静态 Diffie-Hellman）。
    (CVE-2020-36424)

  - 在 Arm Mbed TLS 2.24.0 之前版本中发现一个问题。当决定是否通过 CRL 接受证书撤销时，它错误地使用了 revocationDate 检查。在某些情况下，攻击者可通过更改本地时钟来利用此漏洞。(CVE-2020-36425)

  - 在 2.24.0 之前的 Arm Mbed TLS 中发现一个问题。 mbedtls_x509_crl_parse_der 存在缓冲区过度读取（一个字节）。(CVE-2020-36426)

  - 在 2.25.0 之前（2.16.9 LTS 之前及 2.7.18 LTS 之前）的 Mbed TLS 中发现了一个问题。mbedtls_mpi_exp_mod 执行的计算不受限制；因此，在生成 Diffie-Hellman 密钥对时，提供过大参数可能会导致拒绝服务。(CVE-2020-36475)

  - 在 2.24.0 之前（2.16.8 LTS 之前及 2.7.17 LTS 之前）的 Mbed TLS 中发现了一个问题。mbedtls_ssl_read 中缺少用于从内存擦除未用应用程序数据的明文缓冲区归零。
    (CVE-2020-36476)

  - 在 Mbed TLS 2.24.0 之前版本中发现一个问题。预期公用名（mbedtls_x509_crt_verify 的 cn 参数）与实际证书名称匹配时，对 X.509 证书的验证未得到正确处理：当存在 subjecAltName 扩展时，会将预期名称与该扩展程序中的任何名称进行比较，而不考虑其类型。这意味着攻击者可通过获取相应 IPv4 或 IPv6 地址的证书来冒充 4 字节或 16 字节的域（不过，这需要攻击者控制该 IP 地址）。 (CVE-2020-36477)

  - 在 2.25.0 之前（2.16.9 LTS 之前及 2.7.18 LTS 之前）的 Mbed TLS 中发现了一个问题。NULL 算法参数条目看起来与 REAL 数组（大小为零）相同，因此证书被视为有效。但是，如果参数在任何方面均不匹配，则证书应被视为无效。(CVE-2020-36478)

  - 当输入密码的长度为 0 时，mbed TLS 3.0.0 及更低版本的 mbedtls_pkcs12_derivation 函数中存在拒绝服务漏洞。(CVE-2021-43666)

  - 在某些内存不足的情况下，3.0.1 之前版本的 Mbed TLS 存在双重释放漏洞，这一点已由 mbedtls_ssl_set_session() 失败所证实。(CVE-2021-44732)

  - 在低于 2.28.0 的 Mbed TLS 和低于 3.x 的 3.1.0中，当输出缓冲区位于不受信任的应用程序可访问的内存位置时，psa_cipher_generate_iv 和 psa_cipher_encrypt 允许策略绕过或基于 oracle 的解密。 (CVE-2021-45450)

  - 在 Mbed TLS 2.28.1 之前版本以及 3.2.0 之前的 3.x 版本中发现一个问题。在某些配置中，未经身份验证的攻击者可向 DTLS 服务器发送无效的 ClientHello 消息，从而造成最多 255 个字节的基于堆的缓冲区过度读取。根据错误响应，这可能导致服务器崩溃或信息泄露。受影响的配置启用了 MBEDTLS_SSL_DTLS_CLIENT_PORT_REUSE，并且 MBEDTLS_SSL_IN_CONTENT_LEN 小于取决于配置的阈值：使用 mbedtls_ssl_cookie_check 时为 258 个字节，使用自定义 Cookie 检查函数时可能多达 571 个字节。
    (CVE-2022-35409)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

The remote host is affected by the vulnerability described in GLSA-202301-08 (Mbed TLS: Multiple Vulnerabilities)

  - A Lucky 13 timing side channel in mbedtls_ssl_decrypt_buf in library/ssl_msg.c in Trusted Firmware Mbed     TLS through 2.23.0 allows an attacker to recover secret key information. This affects CBC mode because of     a computed time difference based on a padding length. (CVE-2020-16150)

  - An issue was discovered in Arm Mbed TLS before 2.23.0. Because of a side channel in modular     exponentiation, an RSA private key used in a secure enclave could be disclosed. (CVE-2020-36421)

  - An issue was discovered in Arm Mbed TLS before 2.23.0. A side channel allows recovery of an ECC private     key, related to mbedtls_ecp_check_pub_priv, mbedtls_pk_parse_key, mbedtls_pk_parse_keyfile,     mbedtls_ecp_mul, and mbedtls_ecp_mul_restartable. (CVE-2020-36422)

  - An issue was discovered in Arm Mbed TLS before 2.23.0. A remote attacker can recover plaintext because a     certain Lucky 13 countermeasure doesn't properly consider the case of a hardware accelerator.
    (CVE-2020-36423)

  - An issue was discovered in Arm Mbed TLS before 2.24.0. An attacker can recover a private key (for RSA or     static Diffie-Hellman) via a side-channel attack against generation of base blinding/unblinding values.
    (CVE-2020-36424)

  - An issue was discovered in Arm Mbed TLS before 2.24.0. It incorrectly uses a revocationDate check when     deciding whether to honor certificate revocation via a CRL. In some situations, an attacker can exploit     this by changing the local clock. (CVE-2020-36425)

  - An issue was discovered in Arm Mbed TLS before 2.24.0. mbedtls_x509_crl_parse_der has a buffer over-read     (of one byte). (CVE-2020-36426)

  - An issue was discovered in Mbed TLS before 2.25.0 (and before 2.16.9 LTS and before 2.7.18 LTS). The     calculations performed by mbedtls_mpi_exp_mod are not limited; thus, supplying overly large parameters     could lead to denial of service when generating Diffie-Hellman key pairs. (CVE-2020-36475)

  - An issue was discovered in Mbed TLS before 2.24.0 (and before 2.16.8 LTS and before 2.7.17 LTS). There is     missing zeroization of plaintext buffers in mbedtls_ssl_read to erase unused application data from memory.
    (CVE-2020-36476)

  - An issue was discovered in Mbed TLS before 2.24.0. The verification of X.509 certificates when matching     the expected common name (the cn argument of mbedtls_x509_crt_verify) with the actual certificate name is     mishandled: when the subjecAltName extension is present, the expected name is compared to any name in that     extension regardless of its type. This means that an attacker could impersonate a 4-byte or 16-byte domain     by getting a certificate for the corresponding IPv4 or IPv6 address (this would require the attacker to     control that IP address, though). (CVE-2020-36477)

  - An issue was discovered in Mbed TLS before 2.25.0 (and before 2.16.9 LTS and before 2.7.18 LTS). A NULL     algorithm parameters entry looks identical to an array of REAL (size zero) and thus the certificate is     considered valid. However, if the parameters do not match in any way, then the certificate should be     considered invalid. (CVE-2020-36478)

  - A Denial of Service vulnerability exists in mbed TLS 3.0.0 and earlier in the mbedtls_pkcs12_derivation     function when an input password's length is 0. (CVE-2021-43666)

  - Mbed TLS before 3.0.1 has a double free in certain out-of-memory conditions, as demonstrated by an     mbedtls_ssl_set_session() failure. (CVE-2021-44732)

  - In Mbed TLS before 2.28.0 and 3.x before 3.1.0, psa_cipher_generate_iv and psa_cipher_encrypt allow policy     bypass or oracle-based decryption when the output buffer is at memory locations accessible to an untrusted     application. (CVE-2021-45450)

  - An issue was discovered in Mbed TLS before 2.28.1 and 3.x before 3.2.0. In some configurations, an     unauthenticated attacker can send an invalid ClientHello message to a DTLS server that causes a heap-based     buffer over-read of up to 255 bytes. This can cause a server crash or possibly information disclosure     based on error responses. Affected configurations have MBEDTLS_SSL_DTLS_CLIENT_PORT_REUSE enabled and     MBEDTLS_SSL_IN_CONTENT_LEN less than a threshold that depends on the configuration: 258 bytes if using     mbedtls_ssl_cookie_check, and possibly up to 571 bytes with a custom cookie check function.
    (CVE-2022-35409)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - A Lucky 13 timing side channel in mbedtls_ssl_decrypt_buf in library/ssl_msg.c in Trusted Firmware Mbed     TLS through 2.23.0 allows an attacker to recover secret key information. This affects CBC mode because of     a computed time difference based on a padding length. (CVE-2020-16150)

Note that Nessus relies on the presence of the package as reported by the vendor.

Manuel Pegourie-Gonnard reports :

When decrypting/authenticating (D)TLS record in a connection using a CBC ciphersuite without the Encrypt-then-Mac extension RFC 7366, Mbed TLS used dummy rounds of the compression function associated with the hash used for HMAC in order to hide the length of the padding to remote attackers, as recommended in the original Lucky Thirteen paper.

A local attacker who is able to observe the state of the cache could monitor the presence of mbedtls_md_process() in the cache in order to determine when the actual computation ends and when the dummy rounds start. This is a reliable target as it's always called at least once, in response to a previous attack. The attacker can then continue with one of many well-documented Lucky 13 variants.

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 2.23.0 までの Trusted Firmware Mbed TLS の library/ssl_msg.c の mbedtls_ssl_decrypt_buf の Lucky 13 タイミングサイドチャネルにより、攻撃者は秘密鍵情報を復元できます。これは、パディング長に基づいて計算された時間差のため、CBC モードに影響します。(CVE-2020-16150)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

Manuel Pegourie-Gonnard レポート：

Encrypt-then-Mac拡張RFC 7366のないCBC暗号スイートを使用する接続で(D)TLSレコードを復号化/認証する際に、Mbed TLSは、HMACに使用されるハッシュに関連する圧縮関数のダミーラウンドを使用して、元のLucky Thirteenの論文で推奨されているように、リモートの攻撃者に対するパディングの長さを非表示にしました。

キャッシュの状態を観察できるローカルの攻撃者が、実際の計算が終了するタイミングとダミーラウンドが開始するタイミングを判断するために、キャッシュ内のmbedtls_md_process()の存在を監視する可能性があります。これは、以前の攻撃への応答で少なくとも1回は呼び出されるため、信頼できるターゲットです。その後、攻撃者は多くの実証されたLucky 13バリアントの1つを続行できます。

ID	名稱	產品	系列	已發布	已更新	嚴重性
140621	Fedora 31 : mbedtls (2020-48a1ae610c)	Nessus	Fedora Local Security Checks	2020/9/17	2024/2/20	medium
169300	Debian dla-3249 : libmbedcrypto3 - security update	Nessus	Debian Local Security Checks	2022/12/26	2025/1/22	critical
169300	Debian DLA-3249-1: mbedtls - LTS セキュリティ更新	Nessus	Debian Local Security Checks	2022/12/26	2025/1/22	critical
140621	Fedora 31：mbedtls（2020-48a1ae610c）	Nessus	Fedora Local Security Checks	2020/9/17	2024/2/20	medium
169300	Debian DLA-3249-1：mbedtls - LTS 安全更新	Nessus	Debian Local Security Checks	2022/12/26	2025/1/22	critical
169300	Debian DLA-3249-1：mbedtls - LTS 安全性更新	Nessus	Debian Local Security Checks	2022/12/26	2025/1/22	critical
169842	GLSA-202301-08：Mbed TLS：多個弱點	Nessus	Gentoo Local Security Checks	2023/1/11	2023/9/8	critical
243350	Linux Distros 未修補的弱點：CVE-2020-16150	Nessus	Misc.	2025/8/4	2025/8/4	medium
243350	Linux Distros 未修补的漏洞：CVE-2020-16150	Nessus	Misc.	2025/8/4	2025/8/4	medium
169842	GLSA-202301-08 : Mbed TLS: 多个漏洞	Nessus	Gentoo Local Security Checks	2023/1/11	2023/9/8	critical
169842	GLSA-202301-08 : Mbed TLS: Multiple Vulnerabilities	Nessus	Gentoo Local Security Checks	2023/1/11	2023/9/8	critical
243350	Linux Distros Unpatched Vulnerability : CVE-2020-16150	Nessus	Misc.	2025/8/4	2025/8/4	medium
140312	FreeBSD : Mbed TLS -- Local side channel attack on classical CBC decryption in (D)TLS (4c69240f-f02c-11ea-838a-0011d823eebd)	Nessus	FreeBSD Local Security Checks	2020/9/8	2024/2/21	medium
140762	Fedora 32 : mbedtls (2020-8b0d59bac6)	Nessus	Fedora Local Security Checks	2020/9/24	2024/2/20	medium
243350	Linux Distros のパッチ未適用の脆弱性: CVE-2020-16150	Nessus	Misc.	2025/8/4	2025/8/4	medium
140312	FreeBSD：Mbed TLS -- (D)TLSの古典的なCBC復号化でのローカルサイドチャネル攻撃（4c69240f-f02c-11ea-838a-0011d823eebd）	Nessus	FreeBSD Local Security Checks	2020/9/8	2024/2/21	medium
140762	Fedora 32：mbedtls（2020-8b0d59bac6）	Nessus	Fedora Local Security Checks	2020/9/24	2024/2/20	medium

偵測

搜尋 Plugin

medium

critical

critical

medium

critical

critical

critical

medium

medium

critical

critical

medium

medium

medium

medium

medium

medium