リモートホストが、バージョン 10.8.5 より前の Mac OS X 10.8.x を実行しています。新しいバージョンには、次のコンポーネントに対する複数のセキュリティ関連の修正が含まれています。

- Apache
 - Bind
 - Certificate Trust Policy
 - CoreGraphics
 - ImageIO
 - Installer
 - IPSec
 - Kernel
 - Mobile Device Management
 - OpenSSL
 - PHP
 - PostgreSQL
 - Power Management
 - QuickTime
 - Screen Lock
 - sudo

またこの更新では、特定の Unicode 文字列によりアプリケーションが不意に終了する可能性がある問題にも対処します。

注意：最も深刻な問題の悪用が成功すると、任意のコード実行が発生する可能性があります。

複数のセキュリティ問題を修正する更新済みの rhevm-spice-client パッケージが、Red Hat Enterprise Virtualization Manager 3 で現在利用可能です。

Red Hatセキュリティレスポンスチームは、この更新によるセキュリティ上の影響が重大だと評価しています。詳細な重要度の評価を提供するCommon Vulnerability Scoring System（CVSS）のベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに確認できます。

Red Hat Enterprise Virtualization Manager は、SPICE を使用する仮想マシンへのアクセス権を提供します。これらの SPICE クライアントパッケージは、 Windows 32 ビットおよび 64 ビット両方のオペレーティングシステムに対応した SPICE クライアントと usbclerk サービスを提供します。

rhevm-spice-client パッケージには、mingw-virt-viewer Windows SPICE クライアントが含まれています。TLS 実装の汎用暗号化ライブラリである OpenSSL が、mingw-virt-viewer とバンドルされています。mingw-virt-viewer パッケージが更新され、以下の問題を修正しました：

OpenSSL が TLS および DTLS のハートビート拡張パケットを処理する方法で、情報漏洩欠陥が見つかりました。悪意のある TLS または DTLS のクライアントまたはサーバーが、特別に細工された TLS または DTLS のハートビートパケットを送信して、接続されているクライアントまたはサーバーからのリクエストごとに、メモリの限定された部分を漏洩することがありました。メモリの漏洩された部分には、秘密鍵などの機密情報が含まれている可能性があることに、注意してください。
(CVE-2014-0160)

CBC モードの暗号化パッケージが使用される場合、TLS/SSL および DTLS プロトコルの暗号化されたレコードを復号する際に OpenSSL がタイミング情報を漏洩したことがわかりました。リモートの攻撃者がこの欠陥を利用して、TLS/SSL または DTLS サーバーをパディングオラクルとして使用することで、暗号化パケットから平文を取得する可能性があります。（CVE-2013-0169）

OpenSSL が TLS/SSL プロトコルのハンドシェイクパケットを処理する方法に、NULL ポインターデリファレンスの欠陥が見つかりました。特別に細工されたハンドシェイクパケットにより、 OpenSSL を使用する TLS/SSL クライアントがクラッシュする可能性があります。
(CVE-2013-4353)

オプションの圧縮が使用された際、TLS/SSL プロトコルが平文に関する情報を漏洩する可能性があることがわかりました。攻撃者が、暗号化された TLS / SSL 接続で送信される平文の一部をコントロールできた場合、この欠陥を利用して、平文のその他の部分を復元できる可能性があります。(CVE-2012-4929)

Red Hatは、CVE-2014-0160を報告してくれたOpenSSLプロジェクトに感謝の意を表します。Upstream では、Google Security の Neel Mehta を、最初の報告者として認識しています。

更新済みの mingw-virt-viewer Windows SPICE クライアントには、OpenSSL のセキュリティ修正も含まれていて、mingw-virt-viewer 自体にはセキュリティ上の影響はありません。この更新に含まれているセキュリティ修正は、以下の CVE 番号に対処します：

CVE-2013-6449、 CVE-2013-6450、 CVE-2012-2686、 CVE-2013-0166

Red Hat Enterprise Virtualization Manager の全ユーザーは、これらの更新済みパッケージにアップグレードし、これらの問題を解決することが推奨されます。

Versions of OpenSSL prior to 0.9.8y are reportedly affected by the following vulnerabilities :

  - An error exists related to the handling of OCSP response verification that could allow denial of service attacks. (CVE-2013-0166)

  - An error exists related to the SSL/TLS/DTLS protocols, CBC mode encryption and response time. An attacker could obtain plaintext contents of encrypted traffic via timing attacks. (CVE-2013-0169)

The remote host is missing Mac OS X security update 2013-004 that fixes multiple security issues. 

The remote host is running a version of Mac OS X 10.8 that is older than 10.8.5. The newer version contains numerous security-related fixes for the following components :

  - Apache
  - Bind
  - Certificate Trust Policy
  - CoreGraphics
  - ImageIO
  - Installer
  - IPSec
  - Kernel
  - Mobile Device Management
  - OpenSSL
  - PHP
  - PostgreSQL
  - Power Management
  - QuickTime
  - Screen Lock
  - sudo

 This update also addresses an issue in which certain Unicode strings could cause applications to unexpectedly quit.

 Note that successful exploitation of the most serious issues could result in arbitrary code execution.

ID	名稱	產品	系列	已發布	已更新	嚴重性
69877	Mac OS X 10.8.x < 10.8.5 の複数の脆弱性	Nessus	MacOS X Local Security Checks	2013/9/13	2024/5/28	critical
79013	RHEL 6: rhevm-spice-client (RHSA-2014 : 0416)	Nessus	Red Hat Local Security Checks	2014/11/8	2023/4/25	high
6868	OpenSSL < 0.9.8y / 1.0.1d / 1.0.0k Multiple Vulnerabilities	Nessus Network Monitor	Web Servers	2013/6/11	2019/3/6	low
8008	Mac OS X 10.8 < 10.8.5 Multiple Vulnerabilities (Security Update 2013-004)	Nessus Network Monitor	Web Clients	2013/9/16	2019/3/6	critical

偵測

搜尋 Plugin

critical

high

low

critical