遠端 MiracleLinux 4 主機已安裝受到多個弱點影響的套件如 AXSA:2015-155:05 公告中所提及。

    OpenSSL 工具組為機器提供安全的通訊支援。OpenSSL 包含憑證管理工具，以及可提供多種密碼編譯演算法和通訊協定的共用程式庫。
    此版本修正的安全性問題
    CVE-2014-8176 CVE-2015-1789 CVE-2015-1790 CVE-2015-1791 CVE-2015-1792 CVE-2015-3216

Tenable 已直接從 MiracleLinux 安全性公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

現已提供適用於 Red Hat Enterprise Linux 6 和 7 的更新版 openssl 套件，可修正多個安全性問題。

Red Hat 產品安全性團隊已將此更新評等為具有中等安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

OpenSSL 不但是實作「安全通訊端層」(SSL v2/v3) 和「傳輸層安全性」(TLS v1) 通訊協定的工具組，還是一套完整的通用密碼編譯程式庫。

在 OpenSSL 處理某些 DTLS 交握訊息的方式中發現無效釋放瑕疵。惡意的 DTLS 用戶端或伺服器可導致使用 OpenSSL 的 DTLS 伺服器或用戶端當機，或可能執行任意程式碼。(CVE-2014-8176)

在 Red Hat Enterprise Linux 6 和 7 隨附的 OpenSSL 封包執行 ssleay_rand_bytes() 函式中之鎖定的方式中發現一個瑕疵。此問題可能會導致使用 OpenSSL 的多執行緒應用程式執行超出邊界讀取及損毀。
(CVE-2015-3216)

在 OpenSSL 的 X509_cmp_time() 函式中發現超出邊界讀取瑕疵。特製的 X.509 憑證或憑證撤銷清單 (CRL) 可能導致使用 OpenSSL 的 TLS/SSL 伺服器或用戶端當機。(CVE-2015-1789)

在處理 OpenSSL 程式碼的工作階段中發現一個爭用情形瑕疵。
此問題可能會導致使用 OpenSSL 的多執行緒 TLS/SSL 用戶端重複釋放工作階段票證資料及當機。(CVE-2015-1791)

在 OpenSSL 處理密碼編譯訊息語法 (CMS) 訊息的方式中發現一個瑕疵。具有未知雜湊函式識別碼的 CMS 訊息可能導致使用 OpenSSL 的應用程式進入無限迴圈。(CVE-2015-1792)

在 OpenSSL 處理某些 PKCS#7 輸入的方式中，發現一個 NULL 指標解除參照瑕疵。具有遺漏的 EncryptedContent 資料的特製 PKCS#7 輸入可導致使用 OpenSSL 的應用程式損毀。(CVE-2015-1790)

Red Hat 要感謝 OpenSSL 專案報告 CVE-2014-8176、CVE-2015-1789、CVE-2015-1790、CVE-2015-1791 和 CVE-2015-1792 瑕疵。上游確認 Praveen Kariyanahalli 和 Ivan Fratric 為 CVE-2014-8176 的原始報告者，Robert Swiecki 和 Hanno Böck 為 CVE-2015-1789 的原始報告者，Michal Zalewski 為 CVE-2015-1790 的原始報告者，Emilia Käsper 為 CVE-2015-1791 的原始報告者，以及 Johannes Bauer 為 CVE-2015-1792 的原始報告者。

建議所有 openssl 使用者皆升級至這些更新版套件，其中包含可更正這些問題的反向移植修補程式。若要使更新生效，連結到 OpenSSL 程式庫的所有服務都必須重新啟動或讓系統重新開機。

OpenSSL 0.9.8k 已更新，可修正數個安全性問題：

CVE-2015-4000：拒絕少於 1024 位元的 DH 參數連線，進而解決 Logjam 攻擊 (weakdh.org)。
現已預設為產生 2048 位元 DH 參數。

CVE-2015-1788：格式錯誤的 ECParameters 可能導致無限迴圈。

CVE-2015-1789：已修正 X509_cmp_time 中的超出邊界讀取問題。

CVE-2015-1790：已修正因為遺漏 EnvelopedContent 而發生的 PKCS7 解碼器損毀。

CVE-2015-1792：已修正使用未知雜湊函式時發生的 CMS 驗證無限迴圈。

CVE-2015-1791：已修正在 NewSessionTicket 建立期間發生的爭用情形。

CVE-2015-3216：已修正 ssleay_rand_bytes 中可能因為鎖定迴歸而造成的損毀。

修正 RSA 解密中的計時側通道。(bsc#929678)

其他變更：

在預設的 SSL 密碼字串中，EXPORT 密碼現在已停用。只有在重建應用程式且實際使用此字串時才會啟用。(bsc#931698)

新增 ECC 加密套件至 DEFAULT 密碼類別。(bsc#879179)

請注意，Tenable Network Security 已直接從 SUSE 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

openssl 已更新，修正了六個安全性問題。

下列弱點已修正：

- CVE-2015-4000：Logjam 攻擊/ weakdh.org。拒絕 DH 參數短於 768 位元的連線，並依預設產生 2048 位元的 DH 參數。
 (boo#931698)

- CVE-2015-1788：格式錯誤的 ECParameters 造成無限迴圈 (boo#934487)

- CVE-2015-1789：X509_cmp_time 中可惡意利用的超出邊界讀取 (boo#934489)

- CVE-2015-1790：因為遺漏 EnvelopedContent 而發生的 PKCS7 損毀 (boo#934491)

- CVE-2015-1792：CMS 以未知雜湊函式驗證無限迴圈 (boo#934493)

- CVE-2015-1791：NewSessionTicket 中有爭用情形 (boo#933911)

- CVE-2015-3216：因鎖定迴歸導致的 ssleay_rand_bytes 損毀 (boo#933898)

OpenSSL 0.9.8j 已更新，可修正數個安全性問題。

CVE-2015-4000：Logjam 攻擊 (weakdh.org) 已透過拒絕與短於 1024 位元的 DH 參數連線而獲得解決。現在，我們也預設產生 2048 位元 DH 參數。

CVE-2015-1788：格式錯誤的 ECParameters 可能導致無限迴圈。

CVE-2015-1789：已修正 X509_cmp_time 中的超出邊界讀取問題。

CVE-2015-1790：已修正因為遺漏 EnvelopedContent 而發生的 PKCS7 解碼器損毀。

CVE-2015-1792：已修正使用未知雜湊函式時發生的 CMS 驗證無限迴圈。

CVE-2015-1791：已修正在 NewSessionTicket 建立期間發生的爭用情形。

CVE-2015-3216：已修正 ssleay_rand_bytes 中可能因為鎖定迴歸而造成的損毀。

修正 RSA 解密中的計時跨通道 (bnc#929678)

其他變更：

在預設的 SSL 密碼字串中，EXPORT 密碼現在已停用。只有在重建應用程式且實際使用此字串時才會啟用。(bnc#931698)

新增 ECC 加密套件至 DEFAULT 密碼類別 (bnc#879179)

請注意，Tenable Network Security 已直接從 SUSE 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 OpenSSL 處理某些 DTLS 交握訊息的方式中發現無效釋放瑕疵。惡意的 DTLS 用戶端或伺服器可導致使用 OpenSSL 的 DTLS 伺服器或用戶端當機，或可能執行任意程式碼。(CVE-2014-8176)

在 Scientific Linux 6 和 7 隨附的 OpenSSL 套件執行 ssleay_rand_bytes() 函式中之鎖定的方式中發現一個瑕疵。此問題可能會導致使用 OpenSSL 的多執行緒應用程式執行超出邊界讀取及損毀。
(CVE-2015-3216)

在 OpenSSL 的 X509_cmp_time() 函式中發現超出邊界讀取瑕疵。特製的 X.509 憑證或憑證撤銷清單 (CRL) 可能導致使用 OpenSSL 的 TLS/SSL 伺服器或用戶端當機。(CVE-2015-1789)

在處理 OpenSSL 程式碼的工作階段中發現一個爭用情形瑕疵。
此問題可能會導致使用 OpenSSL 的多執行緒 TLS/SSL 用戶端重複釋放工作階段票證資料及當機。(CVE-2015-1791)

在 OpenSSL 處理密碼編譯訊息語法 (CMS) 訊息的方式中發現一個瑕疵。具有未知雜湊函式識別碼的 CMS 訊息可能導致使用 OpenSSL 的應用程式進入無限迴圈。(CVE-2015-1792)

在 OpenSSL 處理某些 PKCS#7 輸入的方式中，發現一個 NULL 指標解除參照瑕疵。具有遺漏的 EncryptedContent 資料的特製 PKCS#7 輸入可導致使用 OpenSSL 的應用程式損毀。(CVE-2015-1790)

若要使更新生效，連結到 OpenSSL 程式庫的所有服務都必須重新啟動或讓系統重新開機。

此 openssl 更新可修正下列安全性問題：

- CVE-2015-4000 (bsc#931698)

- Logjam 攻擊/weakdh.org

- 拒絕與短於 1024 位元的 DH 參數連線

- 預設產生 2048 位元的 DH 參數

- CVE-2015-1788 (bsc#934487)

- 格式錯誤的 ECParameters 導致無限迴圈

- CVE-2015-1789 (bsc#934489)

- X509_cmp_time 中可惡意利用的超出邊界讀取

- CVE-2015-1790 (bsc#934491)

- 因遺漏 EnvelopedContent 而發生的 PKCS7 當機

- CVE-2015-1792 (bsc#934493)

- CMS 以未知雜湊函式驗證無限迴圈

- CVE-2015-1791 (bsc#933911)

- NewSessionTicket 中的爭用情形

- CVE-2015-3216 (bsc#933898)

- 由於鎖定迴歸，導致 ssleay_rand_bytes 當機

- 修正 RSA 解密中的計時側通道 (bnc#929678)

請注意，Tenable Network Security 已直接從 SUSE 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

此更新可修正下列安全性問題：

- CVE-2015-4000 (boo#931698)

- Logjam 攻擊/weakdh.org

- 拒絕與短於 1024 位元的 DH 參數連線

- 預設產生 2048 位元的 DH 參數

- CVE-2015-1788 (boo#934487)

- 格式錯誤的 ECParameters 導致無限迴圈

- CVE-2015-1789 (boo#934489)

- X509_cmp_time 中可惡意利用的超出邊界讀取

- CVE-2015-1790 (boo#934491)

- 因遺漏 EnvelopedContent 而發生的 PKCS7 當機

- CVE-2015-1792 (boo#934493)

- CMS 以未知雜湊函式驗證無限迴圈

- CVE-2015-1791 (boo#933911)

- NewSessionTicket 中的爭用情形

- CVE-2015-3216 (boo#933898)

- 由於鎖定迴歸，導致 ssleay_rand_bytes 當機

- 修改 openssl-1.0.1i-fipslocking.patch

- 修正 RSA 解密中的計時側通道 (bnc#929678)

- 新增 ECC 加密套件至 DEFAULT (bnc#879179)

- 預設停用 EXPORT 密碼 (bnc#931698、註解 #3)

請注意，Tenable Network Security 已直接從 SUSE 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

遠端 OracleVM 系統缺少可解決重要安全性更新的必要修補程式：

- 改善 (CVE-2015-1791) 的修正

- 新增 CVE-2015-0209 修正的缺少部分，以實現正確性，雖然該問題無法被惡意利用

- 修正 CVE-2014-8176 - DTLS 緩衝區程式碼中的無效釋放

- 修正 CVE-2015-1789 - X509_cmp_time 中的超出邊界讀取

- 修正 CVE-2015-1790 - 因為缺少 EncryptedContent 而造成的 PKCS7 損毀

- 修正 CVE-2015-1791 - 處理 NewSessionTicket 時發生爭用情形

- 修正 CVE-2015-1792 - CMS 以未知雜湊函式驗證無限迴圈

- 修正 CVE-2015-3216 - RAND 鎖定中的迴歸，可造成在多執行緒應用程式中讀取時發生 segfault。

來自 Red Hat 安全性公告 2015:1115：

現已提供適用於 Red Hat Enterprise Linux 6 和 7 的更新版 openssl 套件，可修正多個安全性問題。

Red Hat 產品安全性團隊已將此更新評等為具有中等安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

OpenSSL 不但是實作「安全通訊端層」(SSL v2/v3) 和「傳輸層安全性」(TLS v1) 通訊協定的工具組，還是一套完整的通用密碼編譯程式庫。

在 OpenSSL 處理某些 DTLS 交握訊息的方式中發現無效釋放瑕疵。惡意的 DTLS 用戶端或伺服器可導致使用 OpenSSL 的 DTLS 伺服器或用戶端當機，或可能執行任意程式碼。(CVE-2014-8176)

在 Red Hat Enterprise Linux 6 和 7 隨附的 OpenSSL 封包執行 ssleay_rand_bytes() 函式中之鎖定的方式中發現一個瑕疵。此問題可能會導致使用 OpenSSL 的多執行緒應用程式執行超出邊界讀取及損毀。
(CVE-2015-3216)

在 OpenSSL 的 X509_cmp_time() 函式中發現超出邊界讀取瑕疵。特製的 X.509 憑證或憑證撤銷清單 (CRL) 可能導致使用 OpenSSL 的 TLS/SSL 伺服器或用戶端當機。(CVE-2015-1789)

在處理 OpenSSL 程式碼的工作階段中發現一個爭用情形瑕疵。
此問題可能會導致使用 OpenSSL 的多執行緒 TLS/SSL 用戶端重複釋放工作階段票證資料及當機。(CVE-2015-1791)

在 OpenSSL 處理密碼編譯訊息語法 (CMS) 訊息的方式中發現一個瑕疵。具有未知雜湊函式識別碼的 CMS 訊息可能導致使用 OpenSSL 的應用程式進入無限迴圈。(CVE-2015-1792)

在 OpenSSL 處理某些 PKCS#7 輸入的方式中，發現一個 NULL 指標解除參照瑕疵。具有遺漏的 EncryptedContent 資料的特製 PKCS#7 輸入可導致使用 OpenSSL 的應用程式損毀。(CVE-2015-1790)

Red Hat 要感謝 OpenSSL 專案報告 CVE-2014-8176、CVE-2015-1789、CVE-2015-1790、CVE-2015-1791 和 CVE-2015-1792 瑕疵。上游確認 Praveen Kariyanahalli 和 Ivan Fratric 為 CVE-2014-8176 的原始報告者，Robert Swiecki 和 Hanno Böck 為 CVE-2015-1789 的原始報告者，Michal Zalewski 為 CVE-2015-1790 的原始報告者，Emilia Käsper 為 CVE-2015-1791 的原始報告者，以及 Johannes Bauer 為 CVE-2015-1792 的原始報告者。

建議所有 openssl 使用者皆升級至這些更新版套件，其中包含可更正這些問題的反向移植修補程式。若要使更新生效，連結到 OpenSSL 程式庫的所有服務都必須重新啟動或讓系統重新開機。

LOGJAM：在 TLS 通訊協定撰寫 Diffie-Hellman 交換的方式中發現一個瑕疵 (針對匯出與非匯出等級加密套件)。攻擊者可利用此瑕疵降級 DHE 連線以使用匯出等級金鑰大小，然後其可由足夠的預先計算中斷。這可能導致被動攔截式攻擊，攻擊者可在此攻擊中解密所有流量。(CVE-2015-4000)

在 OpenSSL 的 X509_cmp_time() 函式中發現一個超出邊界讀取瑕疵，其可用來測試 SSL/TLS 憑證的到期日。攻擊者可能會利用特製的 SSL/TLS 憑證或 CRL (憑證撤銷清單)，其在經由應用程式剖析時會造成此應用程式損毀。
(CVE-2015-1789)

在 OpenSSL 處理某些 PKCS#7 輸入的方式中，發現一個 NULL 指標解除參照瑕疵。攻擊者若能讓使用 OpenSSL 的應用程式驗證、解密或剖析特製的 PKCS#7 輸入，便可能使該應用程式損毀。使用 OpenSSL 的 TLS/SSL 用戶端和伺服器不會受到此瑕疵影響。(CVE-2015-1790)

在處理 OpenSSL 程式碼的工作階段中發現一個爭用情形瑕疵。攻擊者可造成多執行緒 SSL/TLS 伺服器當機。
(CVE-2015-1791)

在 OpenSSL 使用 CMS (密碼編譯訊息語法) 驗證某些已簽署訊息的方式中發現一個拒絕服務瑕疵。遠端攻擊者可傳送特製的驗證訊息，造成使用 OpenSSL 的應用程式使用過量記憶體。(CVE-2015-1792)

在 OpenSSL 處理某些 DTLS 交握訊息的方式中發現一個無效釋放瑕疵。惡意 DTLS 用戶端或伺服器可傳送特製的訊息至對等節點，進而造成應用程式損毀或可能造成任意程式碼執行。
(CVE-2014-8176)

在 ssleay_rand_bytes() 函式中發現一個迴歸。這可造成多執行緒應用程式損毀。(CVE-2015-3216)

ID	名稱	產品	系列	已發布	已更新	嚴重性
291461	MiracleLinux 4 : openssl-1.0.1e-30.AXS4.11 (AXSA:2015-155:05)	Nessus	Miracle Linux Local Security Checks	2026/1/19	2026/1/19	high
84204	RHEL 6 / 7 : openssl (RHSA-2015:1115)	Nessus	Red Hat Local Security Checks	2015/6/16	2021/2/5	high
84559	SUSE SLED11 / SLES11 安全性更新：OpenSSL (SUSE-SU-2015:1182-2) (Logjam)	Nessus	SuSE Local Security Checks	2015/7/7	2022/12/5	high
84414	openSUSE 安全性更新：openssl (openSUSE-2015-447) (Logjam)	Nessus	SuSE Local Security Checks	2015/6/26	2022/12/5	high
84561	SUSE SLES11 安全性更新：OpenSSL (SUSE-SU-2015:1184-2) (Logjam)	Nessus	SuSE Local Security Checks	2015/7/7	2022/12/5	high
84199	CentOS 6 / 7 : openssl (CESA-2015:1115)	Nessus	CentOS Local Security Checks	2015/6/16	2021/1/4	high
84226	Scientific Linux 安全性更新：SL6.x、SL7.x i386/x86_64 上的 openssl	Nessus	Scientific Linux Local Security Checks	2015/6/17	2021/1/14	high
84426	SUSE SLED12 / SLES12 安全性更新：openssl (SUSE-SU-2015:1143-1) (Logjam)	Nessus	SuSE Local Security Checks	2015/6/26	2022/12/5	high
84442	SUSE SLED12 安全性更新：compat-openssl098 (SUSE-SU-2015:1150-1) (Logjam)	Nessus	SuSE Local Security Checks	2015/6/29	2022/12/5	high
84548	SUSE SLES11 安全性更新：OpenSSL (SUSE-SU-2015:1184-1) (Logjam)	Nessus	SuSE Local Security Checks	2015/7/6	2022/12/5	high
84203	OracleVM 3.3 : openssl (OVMSA-2015-0070)	Nessus	OracleVM Local Security Checks	2015/6/16	2021/1/4	high
84202	Oracle Linux 6 / 7 : openssl (ELSA-2015-1115)	Nessus	Oracle Linux Local Security Checks	2015/6/16	2024/11/1	high
84251	Amazon Linux AMI：openssl (ALAS-2015-550) (Logjam)	Nessus	Amazon Linux Local Security Checks	2015/6/18	2022/12/5	high

偵測

搜尋 Plugin

high

high

high

high

high

high

high

high

high

high

high

high

high