The remote host is affected by the vulnerability described in GLSA-200806-08 (OpenSSL: Denial of Service)

    Ossi Herrala and Jukka Taimisto of Codenomicon discovered two     vulnerabilities:
    A double free() call in the TLS server name extension (CVE-2008-0891).
    The OpenSSL client code does not properly handle servers that omit the     Server Key Exchange message in the TLS handshake (CVE-2008-1672).
  Impact :

    A remote attacker could connect to a vulnerable server, or entice a     daemon to connect to a malicious server, causing a Denial of Service of     the daemon in both cases.
  Workaround :

    There is no known workaround at this time.

根据其标题，远程 Web 服务器使用的 OpenSSL 版本低于 0.9.8h。因此，它可能受到以下漏洞的影响：

  - 存在与服务器名称扩展数据和特别构建的 TLS 1.0“Client Hello”数据包的处理有关的双重释放错误。此错误可导致应用程序崩溃。请注意，成功利用需要通过 TLS 服务器名称扩展来编译 OpenSSL。
    (CVE-2008-0891)

  - 存在与匿名 Diffie-Hellman 密钥交换和 TLS 握手有关的空指针取消引用错误。可通过从握手中忽略“服务器密钥交换消息”来利用此错误，并可导致应用程序崩溃。(CVE-2008-1672)

  - 在 32 位版本上，NIST 椭圆曲线 P-256 或 P-384 的某些计算期间存在信息泄露漏洞。此错误可允许攻击者恢复 TLS 服务器的私钥。 

    利用需要以下条件：

      - 32 位版本
      - 使用椭圆曲线 P-256 和/或 P-384
      - 在无 SSL_OP_SINGLE_ECDH_USE 上下文选项的情况下使用 ECDH 族密码和/或使用 ECDHE 族密码 

    (CVE-2011-4354)

请注意，Nessus 未尝试验证这些问题是否可利用或已安装修补程序，而是依赖服务器响应头中找到的版本号。

バナーによると、リモート Web サーバーで 0.9.8h より前のバージョンの OpenSSL が使用されています。それ自体、以下の脆弱性の影響を受けることがあります。

  - サーバー名拡張データおよび特別に作り上げられた TLS 1.0「Client Hello」パケットの処理に関連する、ダブルフリーエラーが存在します。これにより、アプリケーションがクラッシュすることがあります。悪用に成功するには、OpenSSL が TLS サーバー名拡張でコンパイルされている必要があることに、注意してください。
    (CVE-2008-0891)

  - 匿名のディフィー・ヘルマン鍵交換および TLS ハンドシェイクに関連する、NULL ポインターデリファレンスのエラーが存在します。これは、「サーバー鍵交換メッセージ」をハンドシェイクから除外することで悪用でき、アプリケーションをクラッシュすることがあります。(CVE-2008-1672)

  - 32 ビットのビルドで、NIST 楕円曲線 P-256 または P-384 に対する特定の計算の実行中に、情報漏洩の脆弱性が存在します。このエラーにより、攻撃者が TLS サーバーの秘密鍵を回復できることがあります。 

    悪用するには以下が必要です。

      - 32 ビットのビルド
      - 楕円曲線 P-256 や P-384 の使用
      - ECDH ファミリー暗号の使用や SSL_OP_SINGLE_ECDH_USE コンテキストオプションのない ECDHE ファミリー暗号の使用 

    (CVE-2011-4354)

注意：Nessus は、これらの問題が実際に悪用できるか、またはパッチが適用されているかの検証を試みませんが、その代わりに、サーバーの応答ヘッダーにあるバージョン番号に依存していました。

根據其標題，遠端 Web 伺服器使用的是 0.9.8h 之前的 OpenSSL 版本。因此，據稱其可能受到以下弱點影響：

  - 存在與處理伺服器名稱擴充資料和特製 TLS 1.0「Client Hello」封包有關的雙重釋放錯誤。這會造成應用程式癱瘓。請注意，需要以 TLS 伺服器名稱擴充編譯 OpenSSL 才能成功惡意利用此弱點。
    (CVE-2008-0891)

  - 存在一個與匿名 Diffie-Hellman 金鑰交換和 TLS 交握有關的 NULL 指標解除參照錯誤。忽略交握的「伺服器金鑰交換訊息」即可惡意利用此弱點，進而造成應用程式癱瘓。(CVE-2008-1672)

  - 在 32 位元版本中，對 NIST 橢圓曲線 P-256 或 P-384 進行特定計算時，存在一個資訊洩漏弱點。此錯誤可允許攻擊者復原 TLS 伺服器的私密金鑰。 

    需要下列條件才能進行惡意利用：

      - 32 位元版本
      - 使用橢圓曲線 P-256 和/或 P-384
      - 使用 ECDH 系列密碼及/或使用 ECDHE 系列密碼，但不使用 SSL_OP_SINGLE_ECDH_USE 內容選項 

    (CVE-2011-4354)

請注意，Nessus 並未嘗試驗證這些問題實際上是否可遭到惡意利用或是否已經修補，而是僅依據伺服器回應標頭中找到的版本號碼。

Testing using the Codenomicon TLS test suite discovered a flaw in the handling of server name extension data in OpenSSL 0.9.8f and OpenSSL 0.9.8g. If OpenSSL has been compiled using the non-default TLS server name extensions, a remote attacker could send a carefully crafted packet to a server application using OpenSSL and cause a crash.
(CVE-2008-0891)

Testing using the Codenomicon TLS test suite discovered a flaw if the 'Server Key exchange message' is omitted from a TLS handshake in OpenSSL 0.9.8f and OpenSSL 0.9.8g. If a client connects to a malicious server with particular cipher suites, the server could cause the client to crash. (CVE-2008-1672)

The updated packages have been patched to fix these flaws.

Note that any applications using this library must be restarted for the update to take effect.

According to its banner, the remote web server uses a version of OpenSSL older than 0.9.8h.  As such, it may be affected by the following vulnerabilities :

  - A double-free error exists related to the handling of     server name extension data and specially crafted TLS     1.0 'Client Hello' packets. This can cause application     crashes. Note that successful exploitation requires that     OpenSSL is compiled with the TLS server name extensions.
    (CVE-2008-0891)

  - A NULL pointer dereference error exists related to     anonymous Diffie-Hellman key exchange and TLS     handshakes. This can be exploited by omitting the     'Server Key exchange message' from the handshake and     can cause application crashes. (CVE-2008-1672)

  - On 32-bit builds, an information disclosure     vulnerability exists during certain calculations for     NIST elliptic curves P-256 or P-384. This error can     allow an attacker to recover the private key of the TLS     server. 

    The following are required for exploitation :

      - 32-bit build
      - Use of elliptic curves P-256 and/or P-384
      - Either the use of ECDH family ciphers and/or the         use of ECDHE family ciphers without the         SSL_OP_SINGLE_ECDH_USE context option 

    (CVE-2011-4354)

Note that Nessus has not attempted to verify that these issues are actually exploitable or have been patched but instead has relied on the version number found in the Server response header.

執行 CORE 5.04 / MAIN 5.04 版的遠端 NewStart CGSL 主機安裝了受多個弱點影響的 openssl 套件：- OpenSSL 1.0.2 (從 1.0.2b 版開始) 引入一種錯誤狀態機制。意圖是，如果在交握期間發生嚴重錯誤，則 OpenSSL 將會移至錯誤狀態，如果您嘗試繼續交握，則會立即失敗。這適用於明確的交握函式 (SSL_do_handshake()、SSL_accept() 和 SSL_connect())，但是，由於發生錯誤的緣故，如果直接呼叫 SSL_read() 或 SSL_write()，則無法正確運作。在該情況下，如果交握失敗，則在初始函式呼叫中將會傳回嚴重錯誤。如果之後應用程式針對相同的 SSL 物件呼叫 SSL_read()/SSL_write()，則會成功傳遞資料，而無須直接從 SSL/TLS 記錄層進行解密/加密。若要惡意利用此問題，則必須存在一個應用程式錯誤，此錯誤會導致在收到嚴重錯誤之後，對 SSL_read()/SSL_write() 發出呼叫。OpenSSL 1.0.2b-1.0.2m 版會受到影響。已在 OpenSSL 1.0.2n 中修正。OpenSSL 1.1.0 不會受到影響。(CVE-2017-3737) - 在用於具有 1024 位元模數之乘冪的 AVX2 Montgomery 乘法程序中有一個溢位錯誤。EC 演算法未受到影響。分析資料指出，因此缺陷而對 RSA 與 DSA 所發動的攻擊極難執行，而且可能性不高。對 DH1024 發動攻擊是可行的，因為推算私密金鑰相關資訊所需的多數工作可以於離線執行。此類攻擊所需的資源量極大。但是，若要讓對 TLS 的攻擊有意義，伺服器必須在多個用戶端之間共用 DH1024 私密金鑰，自 CVE-2016-0701 以來已無此選項。這只會影響支援 AVX2 的處理器，但不會影響支援 ADX 延伸的處理器，如 Intel Haswell (第 4 代)。注意：此問題的影響類似於 CVE-2017-3736、CVE-2017-3732 和 CVE-2015-3193。OpenSSL 1.0.2-1.0.2m 和 1.1.0-1.1.0g 版受到影響。已在 OpenSSL 1.0.2n 中修正。由於此問題的嚴重性低，因此我們目前不會發佈新版本的 OpenSSL 1.1.0。此修正在可用時將包含在 OpenSSL 1.1.0h 中。此修正也可在 OpenSSL git 存放庫的認可 e502cc86d 中使用。(CVE-2017-3738) - 在比 1.0.2m 舊及比 1.1.0g 舊的 OpenSSL 1.1.0 中，x86_64 Montgomery 平方程序中有進位傳播錯誤情形。EC 演算法未受到影響。分析資料指出，因此缺陷而對 RSA 與 DSA 所發動的攻擊極難執行，而且可能性不高。對 DH 發動攻擊是可行的 (但難度極高)，因為推算私密金鑰相關資訊所需的多數工作可以於離線執行。此類攻擊所需的資源量極大，而且只限極少數的攻擊者可以存取。在具有持續 DH 參數且多個用戶端共用一組私密金鑰的情況下，攻擊者還需額外使用目標私密金鑰，於線上存取未經修補的系統。這只會影響支援 BMI1、BMI2 及 ADX 延伸的處理器，如 Intel Broadwell (第 5 代) 及更新版本，或 AMD Ryzen。(CVE-2017-3736) - 0.9.7l 之前的 OpenSSL 0.9.7 和 0.9.8d 之前的 0.9.8 可讓遠端攻擊者透過觸發不當處理的錯誤情況之格式錯誤的 ASN.1 結構造成拒絕服務 (無限迴圈與記憶體耗用)。(CVE-2006-2937) - 0.9.7l 之前的 OpenSSL 0.9.7 和 0.9.8d 之前的 0.9.8 及更舊版本可讓攻擊者透過具有下列兩種特性的依附性公開金鑰而造成拒絕服務 (CPU 耗用)：X.509 憑證中有大的 (1) 公開指數或 (2) 公用模數值，使用 RSA 簽章驗證時，上述兩種特性的公開金鑰都需耗費更長的處理時間。(CVE-2006-2940) - 在 0.9.7l 之前的 OpenSSL 0.9.7、0.9.8d 之前的 0.9.8 及更舊的版本中，SSL_get_shared_ciphers 函式有緩衝區溢位問題，會造成不明影響，且遠端攻擊向量有加密長清單。(CVE-2006-3738) - 在 0.9.7 之前的 OpenSSL、0.9.7k 之前的 0.9.7 和 0.9.8c 之前的 0.9.8 中，若使用指數為 3 的 RSA 金鑰，會在產生雜湊之前移除 PKCS-1 填補，遠端攻擊者因而得以偽造該 RSA 金鑰簽署的 PKCS #1 v1.5 簽章並使 OpenSSL 無法正確地驗證 X.509 和使用 PKCS #1 的其他憑證。(CVE-2006-4339) - 在 0.9.7l 之前的 OpenSSL 0.9.7、0.9.8d 之前的 0.9.8 及更舊的版本中，SSLv2 用戶端程式碼的 get_server_hello 函式可讓遠端攻擊者透過會觸發 null 指標解除參照的不明向量，造成拒絕服務 (用戶端當機)。(CVE-2006-4343) - 在 OpenSSL 0.9.8e 及更舊的版本中，crypto/bn/bn_mont.c 的 BN_from_montgomery 函式未正確計算 Montgomery 乘法，此問題可讓本機使用者發動旁路攻擊並擷取 RSA 私密金鑰。(CVE-2007-3108) - 在 0.9.8f 之前的 OpenSSL 0.9.8 中，DTLS 實作存在差一錯誤，可讓遠端攻擊者透過不明向量執行任意程式碼。(CVE-2007-4995) - 在 OpenSSL 0.9.7 版到 0.9.7l 版和 0.9.8 版到 0.9.8f 版中，SSL_get_shared_ciphers 函式存在差一錯誤，可讓遠端攻擊者透過觸發一位元組的緩衝區反向溢位之特製的封包執行任意程式碼。注意：此問題在 CVE-2006-3738 修正之後出現。截止 20071012，不清楚是否可執行程式碼。(CVE-2007-5135) - OpenSSL 0.9.8f 和 0.9.8g 中有雙重釋放弱點，啟用 TLS 伺服器名稱擴充時，遠端攻擊者得以透過格式錯誤的 Client Hello 封包造成拒絕服務 (當機)。注意： 上述詳細資料中有部分是來自第三方資訊。(CVE-2008-0891) - OpenSSL 0.9.8f 和 0.9.8g 讓遠端攻擊者得以透過 TLS 交握而省略 Server Key Exchange 訊息，並使用特定的加密套件，藉此造成拒絕服務 (當機)，觸發 NULL 指標解除參照。(CVE-2008-1672) - 在 OpenSSL 0.9.8k 及更舊的 0.9.8 版中，ssl/d1_pkt.c 的 dtls1_buffer_record 函式讓遠端攻擊者得以透過一系列大型的待處理 epoch DTLS 記錄 (在佇列中緩衝) 造成拒絕服務 (記憶體耗用)，此弱點又稱為 DTLS 記錄緩衝區限制錯誤。(CVE-2009-1377) - 在 OpenSSL 0.9.8k 及更舊的 0.9.8 版本中，ssl/d1_both.c 的 dtls1_process_out_of_seq_message 函式有多個記憶體洩漏，遠端攻擊者因而得以透過下列 DTLS 記錄造成拒絕服務 (記憶體耗用)：(1) 重複的 DTLS 記錄或 (2) 其序號遠大於目前序號的 DTLS 記錄，此弱點又稱為 DTLS 片段處理記憶體洩漏。(CVE-2009-1378) - 在 OpenSSL 1.0.0 Beta 2 中，ssl/d1_both.c 的 dtls1_retrieve_buffered_fragment 函式有釋放後使用弱點，遠端攻擊者因而得以透過 DTLS 封包造成拒絕服務 (openssl s_client 當機) 甚或造成其他不明影響，從使用特製伺服器憑證的伺服器傳來的封包即為一例。(CVE-2009-1379) - Microsoft Internet Information Services (IIS) 7.0 中所用的 TLS 通訊協定和 SSL 通訊協定 3.0 (更舊版本可能亦然)、Apache HTTP Server 2.2.14 及更舊版本中的 mod_ssl、0.9.8l 之前的 OpenSSL、GnuTLS 2.8.5 及更舊版本、Mozilla Network Security Services (NSS) 3.12.4 及更舊版本、多項 Cisco 產品及其他產品未正確將重新交涉的交握與現有連線聯結，攔截式攻擊者因而得以透過傳送未經驗證的要求 (此要求在重新交涉後內容中由伺服器以回溯性方式處理)，將資料插入 HTTPS 工作階段甚或受 TLS 或 SSL 保護的其他類型之工作階段，這與純文字插入攻擊相關，又稱為「Project Mogul」問題。(CVE-2009-3555) - 在 OpenSSL 0.9.8l 及更舊版本和 1.0.0 Beta 版到 Beta 4 版中，crypto/comp/c_zlib.c 的 zlib_stateful_finish 函式有記憶體洩漏弱點，遠端攻擊者因而得以透過會觸發不正確呼叫 CRYPTO_cleanup_all_ex_data 函式的向量，造成拒絕服務 (記憶體耗用)，使用 SSLv3 和 PHP 的 Apache HTTP Server 即為一例，此問題與 CVE-2008-1678 相關。(CVE-2009-4355) - 在 0.9.8o 之前的 OpenSSL 和 1.0.0a 之前的 1.x 版中，crypto/cms/cms_asn1.c 的 Cryptographic Message Syntax (CMS) 實作未正確處理含 OriginatorInfo 的結構，內容相依的攻擊者因而得以透過不明向量來修改無效的記憶體位置或發動雙重釋放攻擊，也可能執行任意程式碼。(CVE-2010-0742) - 在 1.0.0a 之前的 OpenSSL 1.x 版中，EVP_PKEY_verify_recover 函式出現 RSA 驗證還原問題 (pkeyutl 及可能其他應用程式所用) 會在失敗時傳回未初始化的記憶體，內容相依的攻擊者因而得以透過不明向量繞過預定的金鑰要求或取得敏感資訊。注意： 上述詳細資料中有部分是來自第三方資訊。(CVE-2010-1633) - 在 OpenSSL 0.9.8f 到 0.9.8o、1.0.0 和 1.0.0a 中，當 TLS 伺服器上的多執行緒和內部快取處理啟用時，ssl/t1_lib.c 會出現多個爭用情形，遠端攻擊者因而得以透過可觸發堆積型緩衝區溢位問題的用戶端資料來執行任意程式碼，此問題與 (1) TLS 伺服器名稱擴充和 (2) 橢圓曲線密碼編譯相關。(CVE-2010-3864) - 0.9.8q 之前的 OpenSSL 和 1.0.0c 之前的 1.0.x 版在 SSL_OP_NETSCAPE_REUSE_CIPHER_CHANGE_BUG 啟用的情況下，未妥善防止工作階段快取中的加密套件修改，遠端攻擊者因而得以透過涉及探查網路流量的向量，找出工作階段識別碼，進而強制降級到非預定的加密法。(CVE-2010-4180) - 在 OpenSSL 0.9.8h 到 0.9.8q 和 1.0.0 到 1.0.0c 中，ssl/t1_lib.c 讓遠端攻擊者得以透過格式錯誤的 ClientHello 交握訊息 (此訊息會觸發越界記憶體存取)，造成拒絕服務 (當機)，甚或可能從使用 OpenSSL 的應用程式中取得敏感資訊，此弱點又稱為「OCSP 裝訂」弱點。(CVE-2011-0014) - 在 1.0.0e 之前的 OpenSSL 1.0.x 版中，crypto/x509/x509_vfy.c 未初始化某些結構成員，遠端攻擊者因而得以更輕鬆地藉由使用與過去某個時間點對應的 nextUpdate 值來繞過 CRL 驗證。(CVE-2011-3207) - OpenSSL 0.9.8s 和 1.0.0f 無法正確支援 DTLS 應用程式，遠端攻擊者因而得以透過與越界讀取相關的不明向量，造成拒絕服務 (當機)。注意：此弱點之所以存在，是因為 CVE-2011-4108 的修正不正確。(CVE-2012-0050) - 在 0.9.8v 之前的 OpenSSL、1.0.0i 之前的 1.0.0 和 1.0.1a 之前的 1.0.1 中，crypto/asn1/a_d2i_fp.c 的 asn1_d2i_read_bio 函式未正確解譯整數資料，遠端攻擊者因而得以透過特製的 DER 資料發動緩衝區溢位攻擊，造成拒絕服務 (記憶體損毀) 甚或造成其他不明影響，X.509 憑證或 RSA 公開金鑰即為一例。(CVE-2012-2110) - 在 1.0.1f 之前的 OpenSSL 1.0.1 中，ssl/s3_both.c 的 ssl3_take_mac 函式讓遠端 TLS 伺服器得以透過 TLS 交握中的特製 Next Protocol Negotiation 記錄，造成拒絕服務 (NULL 指標解除參照和應用程式損毀)。(CVE-2013-4353) - 在 1.0.2 之前的 OpenSSL 中，ssl/s3_lib.c 的 ssl_get_algorithm2 函式可從錯誤的資料結構取得特定版本號碼，進而允許遠端攻擊者透過來自 TLS 1.2 用戶端的特製流量造成拒絕服務 (程序損毀)。(CVE-2013-6449) - 在 1.0.0l 之前的 OpenSSL 1.0.0 和 1.0.1f 之前的 1.0.1 中，DTLS 重新傳輸實作未正確維護摘要和加密內容的資料結構，攔截式攻擊者因而得以透過干擾與 ssl/d1_both.c 和 ssl/t1_enc.c 相關之封包傳遞的方式，觸發其他內容的使用並造成拒絕服務 (應用程式損毀)。(CVE-2013-6450) - 在 OpenSSL 處理 TLS 和 DTLS Heartbeat Extension 封包的方式中發現資訊洩漏的缺陷。惡意 TLS 或 DTLS 用戶端或伺服器可傳送特製的 TLS 或 DTLS Heartbeat 封包，進而從連接的用戶端或伺服器進行要求時洩漏有限的記憶體。請注意：記憶體的洩漏部分可能包含像是私密金鑰的敏感資訊。(CVE-2014-0160) - 在加密區塊鏈結 (CBC) 模式下解密使用區塊加密法加密的訊息時，在 SSL 3.0 處理填補位元組的方式中發現一個缺陷。攔截式 (MITM) 攻擊者若能夠強制受影響的應用程式透過新建立的 SSL 3.0 連線重複傳送相同資料，此缺陷即可讓其嘗試解密所選的加密文字位元組 256 次。(CVE-2014-3566) - 在 TLS/SSL 通訊協定使用 DES/3DES 加密的方式中發現缺陷。攔截式攻擊者可利用此缺陷，透過擷取大量 TLS/SSL 伺服器與用戶端間大量加密流量 (若通訊使用 DES/3DES 式加密套件) 的方式，取得一些純文字資料。(CVE-2016-2183) 請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

运行版本 CORE 5.04 / MAIN 5.04 的远程 NewStart CGSL 主机安装有受多个漏洞影响的 openssl 程序包：- OpenSSL 1.0.2（从版本 1.0.2b 开始）引入错误状态机制。旨在若在握手期间发生严重错误，则 OpenSSL 将会移至错误状态，若您尝试继续握手，则会立即失败。这适用于明确的握手函数（SSL_do_handshake()、SSL_accept() 和 SSL_connect()），但是，由于发生错误的缘故，如果直接调用 SSL_read() 或 SSL_write()，则无法正确运作。在该情况下，如果握手失败，则在初始函数调用中将会返回严重错误。如果之后应用程序针对相同的 SSL 对象调用 SSL_read()/SSL_write()，则会成功传递数据，而无须直接从 SSL/TLS 记录层进行解密/加密。若要恶意利用此问题，则必须存在一个应用程序错误，此错误会导致在收到严重错误之后，对 SSL_read()/SSL_write() 发出调用。OpenSSL 1.0.2b-1.0.2m 版会受到影响。已在 OpenSSL 1.0.2n 中修复。OpenSSL 1.1.0 不会受到影响。(CVE-2017-3737) - 在用于具有 1024 位模数进行幂运算的 AVX2 Montgomery 乘法程序中有一个溢出错误。No EC 算术受到影响。分析检测结果后发现，针对 RSA 和 DSA 的攻击难以执行，且可能性不高。由于推断私钥信息所需的大部分工作都可离线执行，针对 DH1024 的攻击则视为可行。此类攻击所需的资源量极大。但是，若要让对 TLS 的攻击有意义，服务器必须在多个客户端之间共享 DH1024 私钥，自 CVE-2016-0701 以来已无此选项。仅会影响支持 AVX2 的处理器，但不会影响支持 ADX 扩展的处理器，如 Intel Haswell（第 4 代）。注意：此问题的影响类似于 CVE-2017-3736、CVE-2017-3732 和 CVE-2015-3193。OpenSSL 1.0.2-1.0.2m 和 1.1.0-1.1.0g 版受到影响。已在 OpenSSL 1.0.2n 中修复。由于此问题的严重程度低，我们目前不会发布新版本的 OpenSSL 1.1.0。此修复在可用时将包含在 OpenSSL 1.1.0h 中。此修复也可在 OpenSSL git 存储库的认可 e502cc86d 中使用。(CVE-2017-3738) - 在低于 1.0.2m 和低于 1.1.0g 的 1.1.0 版 OpenSSL 中，x86_64 Montgomery 平方程序中存在进位传递错误。No EC 算术受到影响。分析检测结果后发现，针对 RSA 和 DSA 的攻击难以执行，且可能性不高。由于推断私钥信息所需的大部分工作都可离线执行，针对 DH 的攻击则视为可行（尽管很难）。此类攻击所需的资源极大，可能仅限极少数的攻击者访问。在具有持久性 DH 参数且多个客户端共享私钥的情况下，攻击者还需要额外使用目标私钥，在线访问未经修复的系统。仅影响支持 BMI1、BMI2 和 ADX 扩展的处理器，如 Intel Broadwell（第 5 代）及更高版本或 AMD Ryzen。(CVE-2017-3736) - 0.9.7l 之前的 0.9.7 和 0.9.8d 之前的 0.9.8 OpenSSL 版本允许远程攻击者通过错误格式的 ASN.1 结构触发不当处理错误情况造成拒绝服务（无限循环和内存消耗）。(CVE-2006-2937) - 当使用 RSA 签名验证时，通过要求额外时间处理的 X.509 证书中具有较大 (1) 公开指数或 (2) 公开模数值的寄生公钥，0.9.7l 之前的 OpenSSL 0.9.7、0.9.8d 之前的 0.9.8 和较早版本允许攻击者造成拒绝服务（CPU 消耗）。(CVE-2006-2940) - 在0.9.7l 之前的 0.9.7 版本和 0.9.8d 之前的 0.9.8 和较早 OpenSSL 版本中，SSL_get_shared_ciphers 函数的缓冲区溢出存在不明影响和涉及长串密码的远程攻击向量。(CVE-2006-3738) - 当使用带有指数 3 的 RSA 密钥时，0.9.7 之前，0.9.7k 之前的 0.9.7 和 0.9.8c 之前的 0.9.8 OpenSSL 版本在产生哈希前，删除 PKCS-1 填充，允许远程攻击者伪造由 RSA 密钥签署的 PKCS #1 v1.5 签名，防止 OpenSSL 正确验证 X.509 和其他使用 PKCS #1 的证书。(CVE-2006-4339) - 在 0.9.7l 之前的 OpenSSL 0.9.7、0.9.8d 之前的 0.9.8 和较早 OpenSSL 版本中，SSLv2 客户端代码的 get_server_hello 函数允许远程服务器经触发空指针取消引用的未知向量造成拒绝服务（客户端崩溃）。(CVE-2006-4343) - OpenSSL 0.9.8e 和较早版本中，crypto/bn/bn_mont.c 的 BN_from_montgomery 函数未正确执行 Montgomery 乘法，可能允许本地用户执行边信道攻击和检索 RSA 私钥。(CVE-2007-3108) - 在 0.9.8f 之前的 OpenSSL 0.9.8 版本中，DTLS 实现的大小差一错误允许远程攻击者通过不明向量执行任意代码。(CVE-2007-4995) - 在 OpenSSL 0.9.7 至 0.9.7l，0.9.8 至 0.9.8f 版本中，SSL_get_shared_ciphers 函数的大小差一错误可能允许远程攻击者通过触发一个字节缓冲区下溢的构造数据包执行任意代码。注意：此问题因修复 CVE-2006-3738 所引入。截至 20071012，不清楚是否可以执行代码。(CVE-2007-5135) - 当启用 TLS 服务器名称扩展时，OpenSSL 0.9.8f 和 0.9.8g 的双重释放漏洞允许远程攻击者通过格式错误的 Client Hello 数据包造成拒绝服务（崩溃）。注意：这些详细信息中的一部分获取自第三方信息。(CVE-2008-0891) - OpenSSL 0.9.8f 和 0.9.8g 允许远程攻击者通过省略服务器密钥交换消息和使用特定密码套件的 TLS 握手造成拒绝服务（崩溃），触发空指针取消引用。(CVE-2008-1672) - 在 OpenSSL 0.9.8k 和较早的 0.9.8 版本中，ssl/d1_pkt.c 的 dtls1_buffer_record 函数允许远程攻击者通过在队列缓冲的未来 epoch DTLS 记录（也称为 DTLS 记录缓冲区限制错误）造成拒绝服务（内存消耗）。(CVE-2009-1377) - 在 OpenSSL 0.9.8k 和较早的 0.9.8 版本中，ssl/d1_both.c 中的 dtls1_process_out_of_seq_message 函数中的多个内存泄漏允许远程攻击者通过 (1) 重复或 (2) 序列号远远大于当前序列号（也称为 DTLS 片段处理内存泄漏）的 DTLS 记录造成拒绝服务（内存消耗）。(CVE-2009-1378) - 在 OpenSSL 1.0.0 Beta 2 中，ssl/d1_both.c 的 dtls1_retrieve_buffered_fragment 函数存在使用后释放漏洞，允许远程攻击者通过 DTLS 数据包造成拒绝服务（openssl s_client 崩溃）和可能产生其他不明影响，如使用构造的服务器证书的服务器数据包所示。(CVE-2009-1379) - TLS 协议和 SSL 协议 3.0 和可能的较早版本（如 Microsoft Internet Information Services (IIS) 7.0 中所用）、Apache HTTP Server 2.2.14 和较早版本中的 mod_ssl、0.9.8l 之前的 OpenSSL、GnuTLS 2.8.5 和较早版本、Mozilla 网络安全服务 (NSS) 3.12.4 和较早版本、多个 Cisco 产品和其他产品，未与现有连接正确关联重新协商握手，允许中间人攻击者通过发送未经身份验证的请求（通过由服务器在重新协商后环境中追溯处理）将数据插入 HTTPS 会话和可能受 TLS 或 SSL 保护的其他会话类型，该问题与纯文本注入攻击相关，也称为 Project Mogul 问题。(CVE-2009-3555) - 在 OpenSSL 0.9.8l 和较早版本和 1.0.0 Beta 到 Beta 4 版本中，crypto/comp/c_zlib.c 的 zlib_stateful_finish 函数存在内存泄漏，允许远程攻击者通过触发 CRYPTO_cleanup_all_ex_data 函数的不正确调用的向量，造成拒绝服务（内存消耗），如使用 Apache HTTP 服务器的 SSLv3 和 PHP 所示，该问题与 CVE-2008-1678 相关。(CVE-2009-4355) - 在低于 0.9.8o 和低于 1.0.0a 的 1.x 版本的 OpenSSL 中，crypto/cms/cms_asn1.c 的 Cryptographic Message Syntax (CMS) 实现未正确处理包含 OriginatorInfo 的结构，允许环境相关的攻击者通过不明向量修改无效内存位置或发动双重释放攻击，并可能执行任意代码。(CVE-2010-0742) - 在低于 1.0.0a 的 OpenSSL 1.x 中，EVP_PKEY_verify_recover 函数的 RSA 验证恢复（如 pkeyutl 和其他应用程序所用）在失败时会返回未初始化的内存，可能允许环境相关的攻击者通过不明向量绕过预期关键要求或获得敏感信息。注意：这些详细信息中的一部分获取自第三方信息。(CVE-2010-1633) - 当在 TLS 服务器上启用多线程和内部缓存时，在 OpenSSL 0.9.8f 到 0.9.8o、1.0.0 和 1.0.0a 中，ssl/t1_lib.c 的多个争用条件可能允许远程攻击者通过触发基于堆的缓冲区溢出的客户端数据执行任意代码，这与 (1) TLS 服务器名称扩展和 (2) 椭圆曲线加密算法相关。(CVE-2010-3864) - 当启用 SSL_OP_NETSCAPE_REUSE_CIPHER_CHANGE_BUG 时，低于 0.9.8q 、低于 1.0.0c 的 1.0.x 版本的 OpenSSL 未正确阻止修改会话缓存中的密码套件，允许远程攻击者通过涉及探查网络流量以发现会话标识符的向量，迫使降级到意外密码。(CVE-2010-4180) - OpenSSL 0.9.8h 到 0.9.8q 和 1.0.0 到 1.0.0c 中的 ssl/t1_lib.c 允许远程攻击者通过触发越界内存访问的格式错误 ClientHello 握手消息造成拒绝服务（崩溃），并可能获取使用 OpenSSL 的应用程序中的敏感信息，也称为 OCSP 装订漏洞。(CVE-2011-0014) - 在低于 1.0.0e 之前的 OpenSSL 1.0.x 中，crypto/x509/x509_vfy.c 未初始化某些结构成员，从而更便于远程攻击者通过对应过去某个时间段的 nextUpdate 值绕过 CRL 验证。(CVE-2011-3207) - OpenSSL 0.9.8s 和 1.0.0f 未正确支持 DTLS 应用程序，允许远程攻击者通过与越界读取相关的不明向量造成拒绝服务（崩溃）。注意：存在此漏洞的原因是对 CVE-2011-4108 的修复不正确。(CVE-2012-0050) - 在版本低于 0.9.8v、低于 1.0.0i 的 1.0.0 和低于 1.0.1a 的 1.0.1 的 OpenSSL，crypto/asn1/a_d2i_fp.c 中的 asn1_d2i_read_bio 函数未正确解释整数数据，允许远程攻击者通过构造的 DER 数据执行缓冲区溢出攻击，并造成拒绝服务（内存破坏）或可能产生其他不明影响，如 X.509 证书或 RSA 公钥所示。(CVE-2012-2110) - 在 1.0.1f 之前的 OpenSSL 1.0.1 中，ssl/s3_both.c 的 ssl3_take_mac 函数允许远程 TLS 服务器通过 TLS 握手中构造的 Next Protocol Negotiation 记录造成拒绝服务（空指针取消引用和应用程序崩溃）。(CVE-2013-4353) - 1.0.2 之前的 OpenSSL 版本的 ssl/s3_lib.c 中的 ssl_get_algorithm2 函数从错误的数据结构中获取特定版本号，这允许远程攻击者通过从 TLS 1.2 客户端构建的流量造成拒绝服务（后台程序崩溃）。(CVE-2013-6449) - 在 OpenSSL 版本低于 1.0.0l 的 1.0.0 和低于 1.0.1f 的 1.0.1 中，DTLS 重新传输实现未正确维护用于摘要和加密环境的数据结构，允许中间人攻击者通过干扰与 ssl/d1_both.c 和 ssl/t1_enc.c 相关的数据包传输，触发使用不同的环境，造成拒绝服务（应用程序崩溃）。(CVE-2013-6450) - 在 OpenSSL 处理 TLS 和 DTLS Heartbeat Extension 数据包的方式中发现信息泄露缺陷。恶意 TLS 或 DTLS 客户端或服务器可发送特别构建的 TLS 或 DTLS 心跳信息数据包，使每个请求从连接的客户端或服务器泄露有限部分的内存。请注意，泄露的内存部分可能包含敏感信息，例如私钥。(CVE-2014-0160) - 当解密使用密码块链接 (CBC) 模式下的块密码加密的消息时，在 SSL 3.0 处理填充字节的方式中发现一个缺陷。如果中间人 (MITM) 攻击者能够强制受害的应用程序通过新创建的 SSL 3.0 连接不断地发送同样的数据，此缺陷就能将选中的加密文本字节在 256 次内解密。(CVE-2014-3566) - 在将 DES/3DES 密码用作 TLS/SSL 协议一部分的方式中发现缺陷。如果通信采用基于 DES/3DES 的密码套件，中间人攻击者可利用此缺陷，通过捕获 TLS/SSL 服务器和客户端之间大量的加密流量，恢复一些纯文本数据。(CVE-2016-2183) 请注意，Nessus 并未针对此问题进行测试，而仅依赖应用程序自我报告的版本号。

Fixes moderate impact security issue CVE-2008-0891 and low impact security issue CVE-2008-1672. See also http://www.openssl.org/news/secadv/20080528.txt All applications and system services which utilize OpenSSL library must be restarted for the updates to take effect.

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

It was discovered that OpenSSL was vulnerable to a double-free when using TLS server extensions. A remote attacker could send a crafted packet and cause a denial of service via application crash in applications linked against OpenSSL. Ubuntu 8.04 LTS does not compile TLS server extensions by default. (CVE-2008-0891)

It was discovered that OpenSSL could dereference a NULL pointer. If a user or automated system were tricked into connecting to a malicious server with particular cipher suites, a remote attacker could cause a denial of service via application crash. (CVE-2008-1672).

Note that Tenable Network Security has extracted the preceding description block directly from the Ubuntu security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

New openssl packages are available for Slackware 11.0, 12.0, 12.1, and -current to fix security issues.

The remote NewStart CGSL host, running version CORE 5.04 / MAIN 5.04, has openssl packages installed that are affected by multiple vulnerabilities:

  - OpenSSL 1.0.2 (starting from version 1.0.2b) introduced     an error state mechanism. The intent was that if a     fatal error occurred during a handshake then OpenSSL     would move into the error state and would immediately     fail if you attempted to continue the handshake. This     works as designed for the explicit handshake functions     (SSL_do_handshake(), SSL_accept() and SSL_connect()),     however due to a bug it does not work correctly if     SSL_read() or SSL_write() is called directly. In that     scenario, if the handshake fails then a fatal error will     be returned in the initial function call. If     SSL_read()/SSL_write() is subsequently called by the     application for the same SSL object then it will succeed     and the data is passed without being decrypted/encrypted     directly from the SSL/TLS record layer. In order to     exploit this issue an application bug would have to be     present that resulted in a call to     SSL_read()/SSL_write() being issued after having already     received a fatal error. OpenSSL version 1.0.2b-1.0.2m     are affected. Fixed in OpenSSL 1.0.2n. OpenSSL 1.1.0 is     not affected. (CVE-2017-3737)

  - There is an overflow bug in the AVX2 Montgomery     multiplication procedure used in exponentiation with     1024-bit moduli. No EC algorithms are affected. Analysis     suggests that attacks against RSA and DSA as a result of     this defect would be very difficult to perform and are     not believed likely. Attacks against DH1024 are     considered just feasible, because most of the work     necessary to deduce information about a private key may     be performed offline. The amount of resources required     for such an attack would be significant. However, for an     attack on TLS to be meaningful, the server would have to     share the DH1024 private key among multiple clients,     which is no longer an option since CVE-2016-0701. This     only affects processors that support the AVX2 but not     ADX extensions like Intel Haswell (4th generation).
    Note: The impact from this issue is similar to     CVE-2017-3736, CVE-2017-3732 and CVE-2015-3193. OpenSSL     version 1.0.2-1.0.2m and 1.1.0-1.1.0g are affected.
    Fixed in OpenSSL 1.0.2n. Due to the low severity of this     issue we are not issuing a new release of OpenSSL 1.1.0     at this time. The fix will be included in OpenSSL 1.1.0h     when it becomes available. The fix is also available in     commit e502cc86d in the OpenSSL git repository.
    (CVE-2017-3738)

  - There is a carry propagating bug in the x86_64     Montgomery squaring procedure in OpenSSL before 1.0.2m     and 1.1.0 before 1.1.0g. No EC algorithms are affected.
    Analysis suggests that attacks against RSA and DSA as a     result of this defect would be very difficult to perform     and are not believed likely. Attacks against DH are     considered just feasible (although very difficult)     because most of the work necessary to deduce information     about a private key may be performed offline. The amount     of resources required for such an attack would be very     significant and likely only accessible to a limited     number of attackers. An attacker would additionally need     online access to an unpatched system using the target     private key in a scenario with persistent DH parameters     and a private key that is shared between multiple     clients. This only affects processors that support the     BMI1, BMI2 and ADX extensions like Intel Broadwell (5th     generation) and later or AMD Ryzen. (CVE-2017-3736)

  - OpenSSL 0.9.7 before 0.9.7l and 0.9.8 before 0.9.8d     allows remote attackers to cause a denial of service     (infinite loop and memory consumption) via malformed     ASN.1 structures that trigger an improperly handled     error condition. (CVE-2006-2937)

  - OpenSSL 0.9.7 before 0.9.7l, 0.9.8 before 0.9.8d, and     earlier versions allows attackers to cause a denial of     service (CPU consumption) via parasitic public keys with     large (1) public exponent or (2) public modulus     values in X.509 certificates that require extra time to     process when using RSA signature verification.
    (CVE-2006-2940)

  - Buffer overflow in the SSL_get_shared_ciphers function     in OpenSSL 0.9.7 before 0.9.7l, 0.9.8 before 0.9.8d, and     earlier versions has unspecified impact and remote     attack vectors involving a long list of ciphers.
    (CVE-2006-3738)

  - OpenSSL before 0.9.7, 0.9.7 before 0.9.7k, and 0.9.8     before 0.9.8c, when using an RSA key with exponent 3,     removes PKCS-1 padding before generating a hash, which     allows remote attackers to forge a PKCS #1 v1.5     signature that is signed by that RSA key and prevents     OpenSSL from correctly verifying X.509 and other     certificates that use PKCS #1. (CVE-2006-4339)

  - The get_server_hello function in the SSLv2 client code     in OpenSSL 0.9.7 before 0.9.7l, 0.9.8 before 0.9.8d, and     earlier versions allows remote servers to cause a denial     of service (client crash) via unknown vectors that     trigger a null pointer dereference. (CVE-2006-4343)

  - The BN_from_montgomery function in crypto/bn/bn_mont.c     in OpenSSL 0.9.8e and earlier does not properly perform     Montgomery multiplication, which might allow local users     to conduct a side-channel attack and retrieve RSA     private keys. (CVE-2007-3108)

  - Off-by-one error in the DTLS implementation in OpenSSL     0.9.8 before 0.9.8f allows remote attackers to execute     arbitrary code via unspecified vectors. (CVE-2007-4995)

  - Off-by-one error in the SSL_get_shared_ciphers function     in OpenSSL 0.9.7 up to 0.9.7l, and 0.9.8 up to 0.9.8f,     might allow remote attackers to execute arbitrary code     via a crafted packet that triggers a one-byte buffer     underflow. NOTE: this issue was introduced as a result     of a fix for CVE-2006-3738. As of 20071012, it is     unknown whether code execution is possible.
    (CVE-2007-5135)

  - Double free vulnerability in OpenSSL 0.9.8f and 0.9.8g,     when the TLS server name extensions are enabled, allows     remote attackers to cause a denial of service (crash)     via a malformed Client Hello packet. NOTE: some of these     details are obtained from third party information.
    (CVE-2008-0891)

  - OpenSSL 0.9.8f and 0.9.8g allows remote attackers to     cause a denial of service (crash) via a TLS handshake     that omits the Server Key Exchange message and uses     particular cipher suites, which triggers a NULL     pointer dereference. (CVE-2008-1672)

  - The dtls1_buffer_record function in ssl/d1_pkt.c in     OpenSSL 0.9.8k and earlier 0.9.8 versions allows remote     attackers to cause a denial of service (memory     consumption) via a large series of future epoch DTLS     records that are buffered in a queue, aka DTLS record     buffer limitation bug. (CVE-2009-1377)

  - Multiple memory leaks in the     dtls1_process_out_of_seq_message function in     ssl/d1_both.c in OpenSSL 0.9.8k and earlier 0.9.8     versions allow remote attackers to cause a denial of     service (memory consumption) via DTLS records that (1)     are duplicates or (2) have sequence numbers much greater     than current sequence numbers, aka DTLS fragment     handling memory leak. (CVE-2009-1378)

  - Use-after-free vulnerability in the     dtls1_retrieve_buffered_fragment function in     ssl/d1_both.c in OpenSSL 1.0.0 Beta 2 allows remote     attackers to cause a denial of service (openssl s_client     crash) and possibly have unspecified other impact via a     DTLS packet, as demonstrated by a packet from a server     that uses a crafted server certificate. (CVE-2009-1379)

  - The TLS protocol, and the SSL protocol 3.0 and possibly     earlier, as used in Microsoft Internet Information     Services (IIS) 7.0, mod_ssl in the Apache HTTP Server     2.2.14 and earlier, OpenSSL before 0.9.8l, GnuTLS 2.8.5     and earlier, Mozilla Network Security Services (NSS)     3.12.4 and earlier, multiple Cisco products, and other     products, does not properly associate renegotiation     handshakes with an existing connection, which allows     man-in-the-middle attackers to insert data into HTTPS     sessions, and possibly other types of sessions protected     by TLS or SSL, by sending an unauthenticated request     that is processed retroactively by a server in a post-     renegotiation context, related to a plaintext     injection attack, aka the Project Mogul issue.
    (CVE-2009-3555)

  - Memory leak in the zlib_stateful_finish function in     crypto/comp/c_zlib.c in OpenSSL 0.9.8l and earlier and     1.0.0 Beta through Beta 4 allows remote attackers to     cause a denial of service (memory consumption) via     vectors that trigger incorrect calls to the     CRYPTO_cleanup_all_ex_data function, as demonstrated by     use of SSLv3 and PHP with the Apache HTTP Server, a     related issue to CVE-2008-1678. (CVE-2009-4355)

  - The Cryptographic Message Syntax (CMS) implementation in     crypto/cms/cms_asn1.c in OpenSSL before 0.9.8o and 1.x     before 1.0.0a does not properly handle structures that     contain OriginatorInfo, which allows context-dependent     attackers to modify invalid memory locations or conduct     double-free attacks, and possibly execute arbitrary     code, via unspecified vectors. (CVE-2010-0742)

  - RSA verification recovery in the EVP_PKEY_verify_recover     function in OpenSSL 1.x before 1.0.0a, as used by     pkeyutl and possibly other applications, returns     uninitialized memory upon failure, which might allow     context-dependent attackers to bypass intended key     requirements or obtain sensitive information via     unspecified vectors. NOTE: some of these details are     obtained from third party information. (CVE-2010-1633)

  - Multiple race conditions in ssl/t1_lib.c in OpenSSL     0.9.8f through 0.9.8o, 1.0.0, and 1.0.0a, when multi-     threading and internal caching are enabled on a TLS     server, might allow remote attackers to execute     arbitrary code via client data that triggers a heap-     based buffer overflow, related to (1) the TLS server     name extension and (2) elliptic curve cryptography.
    (CVE-2010-3864)

  - OpenSSL before 0.9.8q, and 1.0.x before 1.0.0c, when     SSL_OP_NETSCAPE_REUSE_CIPHER_CHANGE_BUG is enabled, does     not properly prevent modification of the ciphersuite in     the session cache, which allows remote attackers to     force the downgrade to an unintended cipher via vectors     involving sniffing network traffic to discover a session     identifier. (CVE-2010-4180)

  - ssl/t1_lib.c in OpenSSL 0.9.8h through 0.9.8q and 1.0.0     through 1.0.0c allows remote attackers to cause a denial     of service (crash), and possibly obtain sensitive     information in applications that use OpenSSL, via a     malformed ClientHello handshake message that triggers an     out-of-bounds memory access, aka OCSP stapling     vulnerability. (CVE-2011-0014)

  - crypto/x509/x509_vfy.c in OpenSSL 1.0.x before 1.0.0e     does not initialize certain structure members, which     makes it easier for remote attackers to bypass CRL     validation by using a nextUpdate value corresponding to     a time in the past. (CVE-2011-3207)

  - OpenSSL 0.9.8s and 1.0.0f does not properly support DTLS     applications, which allows remote attackers to cause a     denial of service (crash) via unspecified vectors     related to an out-of-bounds read. NOTE: this     vulnerability exists because of an incorrect fix for     CVE-2011-4108. (CVE-2012-0050)

  - The asn1_d2i_read_bio function in crypto/asn1/a_d2i_fp.c     in OpenSSL before 0.9.8v, 1.0.0 before 1.0.0i, and 1.0.1     before 1.0.1a does not properly interpret integer data,     which allows remote attackers to conduct buffer overflow     attacks, and cause a denial of service (memory     corruption) or possibly have unspecified other impact,     via crafted DER data, as demonstrated by an X.509     certificate or an RSA public key. (CVE-2012-2110)

  - The ssl3_take_mac function in ssl/s3_both.c in OpenSSL     1.0.1 before 1.0.1f allows remote TLS servers to cause a     denial of service (NULL pointer dereference and     application crash) via a crafted Next Protocol     Negotiation record in a TLS handshake. (CVE-2013-4353)

  - The ssl_get_algorithm2 function in ssl/s3_lib.c in     OpenSSL before 1.0.2 obtains a certain version number     from an incorrect data structure, which allows remote     attackers to cause a denial of service (daemon crash)     via crafted traffic from a TLS 1.2 client.
    (CVE-2013-6449)

  - The DTLS retransmission implementation in OpenSSL 1.0.0     before 1.0.0l and 1.0.1 before 1.0.1f does not properly     maintain data structures for digest and encryption     contexts, which might allow man-in-the-middle attackers     to trigger the use of a different context and cause a     denial of service (application crash) by interfering     with packet delivery, related to ssl/d1_both.c and     ssl/t1_enc.c. (CVE-2013-6450)

  - An information disclosure flaw was found in the way     OpenSSL handled TLS and DTLS Heartbeat Extension     packets. A malicious TLS or DTLS client or server could     send a specially crafted TLS or DTLS Heartbeat packet to     disclose a limited portion of memory per request from a     connected client or server. Note that the disclosed     portions of memory could potentially include sensitive     information such as private keys. (CVE-2014-0160)

  - A flaw was found in the way SSL 3.0 handled padding     bytes when decrypting messages encrypted using block     ciphers in cipher block chaining (CBC) mode. This flaw     allows a man-in-the-middle (MITM) attacker to decrypt a     selected byte of a cipher text in as few as 256 tries if     they are able to force a victim application to     repeatedly send the same data over newly created SSL 3.0     connections. (CVE-2014-3566)

  - A flaw was found in the way the DES/3DES cipher was used     as part of the TLS/SSL protocol. A man-in-the-middle     attacker could use this flaw to recover some plaintext     data by capturing large amounts of encrypted traffic     between TLS/SSL server and client if the communication     used a DES/3DES based ciphersuite. (CVE-2016-2183)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

Versions of OpenSSL earlier than 0.9.8h are potentially affected by multiple vulnerabilities :

  - A double-free error exists related to the handling of server name extension data and specially crafted TLS 1.0 'Client Hello' packets.  This can cause application crashes.  Note that successful exploitation requires that OpenSSL is compiled with the TLS server name extensions. (CVE-2008-0891)

  - A NULL pointer dereference error exists related to anonymous Diffie-Hellman key exchange and TLS handshakes.  This can be exploited by omitting the 'Server Key exchange message' from the handshake and can cause application crashes. (CVE-2008-1672)

  - On 32-bit builds, an information disclosure vulnerability exists during certain calculations for NIST elliptic curves P-256 or P-384.  This error can allow an attacker to recover the private key of the TLS server.

  The following are required for exploitation :

    - 32-bit build

    - Use of elliptic curves P-256 and/or P-384

    - Either the use of ECDH family ciphers and/or the use of ECDHE family ciphers without the SSL_OP_SINGLE_ECDH_USE context option. (CVE-2011-4354)

ID	名稱	產品	系列	已發布	已更新	嚴重性
33244	GLSA-200806-08 : OpenSSL: Denial of Service	Nessus	Gentoo Local Security Checks	2008/6/24	2021/1/6	medium
56996	OpenSSL < 0.9.8h 多个漏洞	Nessus	Web Servers	2011/12/2	2023/8/22	medium
56996	OpenSSL < 0.9.8h の複数の脆弱性	Nessus	Web Servers	2011/12/2	2023/8/22	medium
56996	OpenSSL < 0.9.8h 多個弱點	Nessus	Web Servers	2011/12/2	2023/8/22	medium
37882	Mandriva Linux Security Advisory : openssl (MDVSA-2008:107)	Nessus	Mandriva Local Security Checks	2009/4/23	2021/1/6	medium
56996	OpenSSL < 0.9.8h Multiple Vulnerabilities	Nessus	Web Servers	2011/12/2	2023/8/22	medium
127201	NewStart CGSL CORE 5.04 / MAIN 5.04：openssl 多個弱點 (NS-SA-2019-0033)	Nessus	NewStart CGSL Local Security Checks	2019/8/12	2023/4/25	high
127201	NewStart CGSL CORE 5.04 / MAIN 5.04：openssl 多个漏洞 (NS-SA-2019-0033)	Nessus	NewStart CGSL Local Security Checks	2019/8/12	2023/4/25	high
32484	Fedora 9 : openssl-0.9.8g-9.fc9 (2008-4723)	Nessus	Fedora Local Security Checks	2008/6/2	2021/1/11	medium
33389	Ubuntu 8.04 LTS : openssl vulnerabilities (USN-620-1)	Nessus	Ubuntu Local Security Checks	2008/7/2	2021/1/19	medium
33753	Slackware 11.0 / 12.0 / 12.1 / current : openssl (SSA:2008-210-08)	Nessus	Slackware Local Security Checks	2008/7/29	2021/1/14	medium
127201	NewStart CGSL CORE 5.04 / MAIN 5.04 : openssl Multiple Vulnerabilities (NS-SA-2019-0033)	Nessus	NewStart CGSL Local Security Checks	2019/8/12	2023/4/25	high
4521	OpenSSL < 0.9.8h Multiple Vulnerabilities	Nessus Network Monitor	Web Servers	2011/12/2	2019/3/6	low
801061	OpenSSL < 0.9.8h Multiple Vulnerabilities	Log Correlation Engine	Web Servers	2011/12/2		medium

偵測

搜尋 Plugin

medium

medium

medium

medium

medium

medium

high

high

medium

medium

medium

high

low

medium