このopenssl用の更新プログラムでは、OpenSSLセキュリティアドバイザリ（2017年1月26日）に含まれる次の問題が修正されています（bsc#1021641）。修正されたセキュリティ問題：

  - CVE-2016-7056：キー回復を許可する可能性のあるローカルECSDA P-256タイミング攻撃が修正されました（bsc#1019334）。

  - CVE-2016-8610：SSLアラート処理におけるリモートサービス拒否が修正されました（bsc#1005878）。

  - SSLv2での3DESをMEDIUMに低下（bsc#1001912）

  - CVE-2016-2108：CVE-2016-2108に対して欠落していたコミットを追加しました。ASN.1デコーダーでの負のゼロ処理が修正されます（bsc#1004499）。修正されたバグ：

  - openssl速度でのクラッシュを修正（bsc#1000677）

  - チケットが存在せず、セッションID長が0の場合は、セッション再開を試みません（bsc#984663）

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

このopensslの更新では、以下の問題を修正します：キャッシュサイドチャネル攻撃の軽減：

  - CVE-2016-7056：ECSDA P-256タイミング攻撃キーの回復（bsc#1019334）

  - CVE-2017-3731：切り取られたパケットが領域外読み取りを介してクラッシュする可能性があります（bsc#1022085）

  - CVE-2016-8610：SSLアラート処理におけるリモートのサービス拒否（bsc#1005878）

  - CVE-2017-3735：不正な形式のX.509 IPAdressFamilyが、領域外読み取りを引き起こす可能性があります（bsc#1056058）バグ修正：

  - 代替root caチェーンをサポートします（bsc#1032261）

  - X509_get_default_cert_file()が間違ったパスを返します（bsc#1022271）

  - エンジンライブラリファイルが見つからない場合の「openssl speed」でのセグメンテーション違反（bsc#1000677）

  - 1.0.2および現在の状態に対応するためにDEFAULT_SUSEを調整します（bsc#1027908）

  - SLES12 SP1のopenssl 1.0.1i-47.1に重要な暗号が欠落しています（bsc#990592）

  - DES_fcryptでの領域外読み取りとクラッシュ（bsc#1065363）

  - 2017年1月26日のリリースのトラッカーバグ（bsc#1021641）

  - CVE-2016-2108のパッチがネガティブゼロの悪用に失敗します（bsc#1001502）

  - 64ビットブロック暗号、つまりtriple-des、に対する誕生日攻撃（SWEET32）（bsc#1001912）

  - CVE-2016-2108の追加パッチを含めます（bsc#1004499）

  - openssl DEFAULT_SUSE暗号リストにECDHE-ECDSA暗号がありません（bsc#1055825）

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

リモート Redhat Enterprise Linux 6 / 7 ホストに、RHSA-2017:1801 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Red Hat JBoss ウェブサーバーは、Java ウェブアプリケーションをホスティングするための完全に統合され認定されたコンポーネントのセットです。これは、Apache HTTP Server、Apache Tomcatサーブレットコンテナ、Apache Tomcatコネクタ（mod_jk）、JBoss HTTPコネクタ（mod_cluster）、Hibernate、Tomcat Nativeライブラリで構成されています。

    Red Hat JBoss Web Server 3.1 Service Pack 1のこのリリースは、Red Hat JBoss Web Server 3.1に置き換わるものとして機能し、「参照」でリンクされているリリースノートにドキュメント化されているバグ修正プログラムが含まれています。

    セキュリティ修正プログラム: 

    * log4jソケットサーバーでリモートロギングを使用しているときに、log4jサーバーがTCPまたはUDP経由で受信したログイベントを逆シリアル化することがわかりました。攻撃者はこの欠陥を悪用して、特別に細工されたログイベントを送信し、逆シリアル化中に、loggerアプリケーションのコンテキストで任意のコードを実行する可能性があります。
    (CVE-2017-5645)

    * Sendfileが使用されるときのTomcatのパイプラインリクエスト処理に脆弱性が発見されました。sendfile処理が迅速に完了した場合、プロセッサーがプロセッサーキャッシュに2回追加される可能性があります。これにより、無効な応答や情報漏洩が発生する可能性があります。（CVE-2017-5647）

    * TomcatのDefaultServlet実装のエラーページメカニズムで脆弱性が発見されました。細工されたHTTPリクエストは、カスタムエラーページの削除や置き換えを含む可能性がある不要なサイドエフェクトを引き起こす可能性があります。（CVE-2017-5664）

    * Tomcatで脆弱性が発見されました。SecurityManagerで信頼できないアプリケーションを実行するとき、状況によっては、そのアプリケーションがリクエストや応答オブジェクトへの参照を保持し、別のWebアプリケーションに関連する情報にアクセスし、変更を加える可能性があります。
    (CVE-2017-5648)

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモート Redhat Enterprise Linux 6 ホストに、RHSA-2017:1414 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Red Hat JBoss Core Services は、Red Hat JBoss ミドルウェア製品の補足ソフトウェアのセットです。Apache HTTP Server などのこのソフトウェアは複数の JBoss ミドルウェア製品に共通であり、Red Hat JBoss Core Services としてパッケージ化され、更新プログラムの迅速な配信やより一貫した更新が可能です。

    Red Hat JBoss Core Services Apache HTTP Server 2.4.23 Service Pack 1 のこのリリースは、Red Hat JBoss Core Services Apache HTTP Server 2.4.23 を置き換え、バグ修正の内容は、「参照」でリンクされているリリースノートにドキュメント化されています。

    セキュリティ修正プログラム: 

    * OpenSSL がセッションの再ネゴシエーション中に TLS 状態リクエストの拡張機能データを処理する方法に、メモリリークの欠陥が見つかりました。リモートの攻撃者が OpenSSL を使用する TLS サーバーで過剰にメモリを消費する可能性があります。OCSP ステープリングサポートが有効になっている場合は、使用可能なすべてのメモリが使い果たされた後に予期せず終了する可能性があります。(CVE-2016-6304)

    * httpdのmod_session_cryptoモジュールが、ユーザーのブラウザーに格納されている暗号化されたセッションデータの整合性を検証するためのメカニズムを使用していなかったことがわかりました。リモートの攻撃者がこの欠陥を利用して、パディングオラクル攻撃を使用してセッションデータを復号および変更する可能性があります。 （CVE-2016-0736）

    * httpdのmod_auth_digestモジュールがメモリ割り当ての失敗を適切にチェックしていなかったことがわかりました。サーバーが HTTP ダイジェスト認証を使用する場合、リモートの攻撃者がこの欠陥を悪用して、httpd の子プロセスでクラッシュを繰り返し発生させる可能性があります。(CVE-2016-2161)

    * ローカルアクセスを持つ悪意のあるユーザーがECDSA P-256秘密鍵を回復できる可能性があるタイミング攻撃の欠陥がOpenSSLに見つかりました。 （CVE-2016-7056）

    * TLS/SSL プロトコルが接続ハンドシェイク中に ALERT パケットの処理を定義する方法に、サービス拒否の欠陥が見つかりました。リモートの攻撃者がこの欠陥を悪用して、TLS/SSL サーバーに過剰に CPU を消費させ、他のクライアントからの接続を受け入れられないようにする可能性があります。(CVE-2016-8610)

    * httpdのHTTPパーサーが、HTTPプロトコル仕様で許可されていない特定の文字を不適切に許可し、HTTPリクエストヘッダーでエンコードされずに使用されていたことがわかりました。これらの文字を異なって解釈するプロキシサーバーやバックエンドサーバーとhttpdが組み合わせて使用された場合、リモートの攻撃者がこの欠陥を悪用して、HTTP応答にデータを挿入してプロキシキャッシュポイズニングを引き起こす可能性があります。（CVE-2016-8743）

    * HTTP/2が有効になっているサーバーに影響を与える脆弱性が、mod_http2におけるLimitRequestFieldsディレクティブのhttpd処理で見つかりました。攻撃者が、サーバーの利用可能なメモリより大きなヘッダーを持つ細工されたリクエストを送信し、httpd をクラッシュさせる可能性があります。 （CVE-2016-8740）

    Red Hat は、CVE-2016-6304 を報告してくれた OpenSSL プロジェクトと、CVE-2016-8610 を報告してくれた Shi Lei 氏 (Qihoo 360 Inc. の Gear Team) に感謝の意を表します。アップストリームは、Shi Lei 氏 (Qihoo 360 Inc. の Gear Teeam) を CVE-2016-6304 の最初の報告者として認めています。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

OpenSSL にいくつかの脆弱性が発見されました : - CVE-2016-7056     ECDSA P-256 に対するローカルタイミング攻撃が     発見されました。- CVE-2016-8610     SSL ハンドシェイク中に     アラートパケットに制限が課せられていないことが判明しました。- CVE-2017-3731     Robert Swiecki 氏は、32ビットシステムで実行するときに RC4-MD5 暗号が     領域外読み込みを強制され、     サービス拒否が引き起こされる可能性があることを発見しました。

このopenssl用の更新プログラムでは、OpenSSLセキュリティアドバイザリ（2017年1月26日）に含まれる次の問題が修正されています（bsc#1021641）。修正されたセキュリティ問題：

  - CVE-2016-7056：キー回復を許可する可能性のあるローカルECSDA P-256タイミング攻撃が修正されました（bsc#1019334）

  - CVE-2016-8610：SSLアラート処理におけるリモートサービス拒否が修正されました（bsc#1005878）

  - CVE-2016-2108：CVE-2016-2108に対して欠落していたコミットを追加しました。ASN.1デコーダーでの負のゼロ処理が修正されます（bsc#1004499）

  - CVE-2017-3731：切り取られたパケットが領域外読み取りを介してクラッシュする可能性があります（bsc#1022085、CVE-2017-3731）

  - SSLv2での3DES暗号をMEDIUMに低下（bsc#1001912）。修正されたバグ：

  - openssl速度でのクラッシュを修正（bsc#1000677）

  - ca-bundleパスを修正（bsc#1022271）

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

The remote Redhat Enterprise Linux 6 / 7 host has packages installed that are affected by multiple vulnerabilities as referenced in the RHSA-2017:1801 advisory.

    Red Hat JBoss Web Server is a fully integrated and certified set of components for hosting Java web     applications. It is comprised of the Apache HTTP Server, the Apache Tomcat Servlet container, Apache     Tomcat Connector (mod_jk), JBoss HTTP Connector (mod_cluster), Hibernate, and the Tomcat Native library.

    This release of Red Hat JBoss Web Server 3.1 Service Pack 1 serves as a replacement for Red Hat JBoss Web     Server 3.1, and includes bug fixes, which are documented in the Release Notes document linked to in the     References.

    Security Fix(es):

    * It was found that when using remote logging with log4j socket server the log4j server would deserialize     any log event received via TCP or UDP. An attacker could use this flaw to send a specially crafted log     event that, during deserialization, would execute arbitrary code in the context of the logger application.
    (CVE-2017-5645)

    * A vulnerability was discovered in tomcat's handling of pipelined requests when Sendfile was used. If     sendfile processing completed quickly, it was possible for the Processor to be added to the processor     cache twice. This could lead to invalid responses or information disclosure. (CVE-2017-5647)

    * A vulnerability was discovered in the error page mechanism in Tomcat's DefaultServlet implementation. A     crafted HTTP request could cause undesired side effects, possibly including the removal or replacement of     the custom error page. (CVE-2017-5664)

    * A vulnerability was discovered in tomcat. When running an untrusted application under a SecurityManager     it was possible, under some circumstances, for that application to retain references to the request or     response objects and thereby access and/or modify information associated with another web application.
    (CVE-2017-5648)

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Redhat Enterprise Linux 6 host has packages installed that are affected by multiple vulnerabilities as referenced in the RHSA-2017:1414 advisory.

    Red Hat JBoss Core Services is a set of supplementary software for Red Hat JBoss middleware products. This     software, such as Apache HTTP Server, is common to multiple JBoss middleware products, and is packaged     under Red Hat JBoss Core Services to allow for faster distribution of updates, and for a more consistent     update experience.

    This release of Red Hat JBoss Core Services Apache HTTP Server 2.4.23 Service Pack 1 serves as a     replacement for Red Hat JBoss Core Services Apache HTTP Server 2.4.23, and includes bug fixes, which are     documented in the Release Notes document linked to in the References.

    Security Fix(es):

    * A memory leak flaw was found in the way OpenSSL handled TLS status request extension data during session     renegotiation. A remote attacker could cause a TLS server using OpenSSL to consume an excessive amount of     memory and, possibly, exit unexpectedly after exhausting all available memory, if it enabled OCSP stapling     support. (CVE-2016-6304)

    * It was discovered that the mod_session_crypto module of httpd did not use any mechanisms to verify     integrity of the encrypted session data stored in the user's browser. A remote attacker could use this     flaw to decrypt and modify session data using a padding oracle attack. (CVE-2016-0736)

    * It was discovered that the mod_auth_digest module of httpd did not properly check for memory allocation     failures. A remote attacker could use this flaw to cause httpd child processes to repeatedly crash if the     server used HTTP digest authentication. (CVE-2016-2161)

    * A timing attack flaw was found in OpenSSL that could allow a malicious user with local access to recover     ECDSA P-256 private keys. (CVE-2016-7056)

    * A denial of service flaw was found in the way the TLS/SSL protocol defined processing of ALERT packets     during a connection handshake. A remote attacker could use this flaw to make a TLS/SSL server consume an     excessive amount of CPU and fail to accept connections from other clients. (CVE-2016-8610)

    * It was discovered that the HTTP parser in httpd incorrectly allowed certain characters not permitted by     the HTTP protocol specification to appear unencoded in HTTP request headers. If httpd was used in     conjunction with a proxy or backend server that interpreted those characters differently, a remote     attacker could possibly use this flaw to inject data into HTTP responses, resulting in proxy cache     poisoning. (CVE-2016-8743)

    * A vulnerability was found in httpd's handling of the LimitRequestFields directive in mod_http2,     affecting servers with HTTP/2 enabled. An attacker could send crafted requests with headers larger than     the server's available memory, causing httpd to crash. (CVE-2016-8740)

    Red Hat would like to thank the OpenSSL project for reporting CVE-2016-6304 and Shi Lei (Gear Team of     Qihoo 360 Inc.) for reporting CVE-2016-8610. Upstream acknowledges Shi Lei (Gear Team of Qihoo 360 Inc.)     as the original reporter of CVE-2016-6304.

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

This update for openssl fixes the following issues contained in the OpenSSL Security Advisory [26 Jan 2017] (bsc#1021641) Security issues fixed :

  - CVE-2016-7056: A local ECSDA P-256 timing attack that     might have allowed key recovery was fixed (bsc#1019334)

  - CVE-2016-8610: A remote denial of service in SSL alert     handling was fixed (bsc#1005878)

  - CVE-2016-2108: Added a missing commit for CVE-2016-2108,     fixing the negative zero handling in the ASN.1 decoder     (bsc#1004499)

  - CVE-2017-3731: Truncated packet could crash via OOB read     (bsc#1022085, CVE-2017-3731)

  - Degrade the 3DES cipher to MEDIUM in SSLv2 (bsc#1001912)     Bugs fixed :

  - fix crash in openssl speed (bsc#1000677)

  - fix ca-bundle path (bsc#1022271)

Note that Tenable Network Security has extracted the preceding description block directly from the SUSE security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

Several vulnerabilities were discovered in OpenSSL :

  - CVE-2016-7056     A local timing attack was discovered against ECDSA     P-256.

  - CVE-2016-8610     It was discovered that no limit was imposed on alert     packets during an SSL handshake.

  - CVE-2017-3731     Robert Swiecki discovered that the RC4-MD5 cipher when     running on 32 bit systems could be forced into an     out-of-bounds read, resulting in denial of service.

ID	名稱	產品	系列	已發布	已更新	嚴重性
97494	SUSE SLES11セキュリティ更新プログラム：openssl（SUSE-SU-2017:0585-1）	Nessus	SuSE Local Security Checks	2017/3/2	2021/1/19	critical
106093	SUSE SLES12セキュリティ更新プログラム：openssl（SUSE-SU-2018:0112-1）	Nessus	SuSE Local Security Checks	2018/1/17	2021/1/13	critical
112177	RHEL 6/7Red Hat JBoss Web Server 3.1.0 サービスパック 1RHSA-2017:1801	Nessus	Red Hat Local Security Checks	2018/8/29	2025/4/29	critical
117316	RHEL 6：Red Hat JBoss Core Services Apache HTTP Server 2.4.23 RHEL 6 用サービスパック 1（重要度高）（RHSA-2017:1414）	Nessus	Red Hat Local Security Checks	2018/9/6	2025/4/15	high
96842	Debian DSA-3773-1 : openssl - セキュリティ更新	Nessus	Debian Local Security Checks	2017/1/30	2021/1/11	high
97188	SUSE SLED12 / SLES12セキュリティ更新プログラム：openssl（SUSE-SU-2017:0461-1）	Nessus	SuSE Local Security Checks	2017/2/15	2021/1/6	critical
112177	RHEL 6 / 7 : Red Hat JBoss Web Server 3.1.0 Service Pack 1 (RHSA-2017:1801)	Nessus	Red Hat Local Security Checks	2018/8/29	2025/4/29	critical
117316	RHEL 6 : Red Hat JBoss Core Services Apache HTTP Server 2.4.23 Service Pack 1 for RHEL 6 (Important) (RHSA-2017:1414)	Nessus	Red Hat Local Security Checks	2018/9/6	2025/4/15	high
97188	SUSE SLED12 / SLES12 Security Update : openssl (SUSE-SU-2017:0461-1)	Nessus	SuSE Local Security Checks	2017/2/15	2021/1/6	critical
96842	Debian DSA-3773-1 : openssl - security update	Nessus	Debian Local Security Checks	2017/1/30	2021/1/11	high

偵測

搜尋 Plugin

critical

critical

critical

high

high

critical

critical

high

critical

high