遠端主機執行的 McAfee VirusScan Enterprise for Linux (VSEL) 版本受到多個弱點影響，這是因為隨附 OpenSSL 程式庫中的瑕疵所致：

- 函式「ssl3_read_bytes」中存在錯誤，可允許將資料插入其他工作階段或允許拒絕服務攻擊。請注意，只有當啟用了「SSL_MODE_RELEASE_BUFFERS」時，此問題才可能遭惡意利用。(CVE-2010-5298)

- 存在與橢圓曲線數位簽章演算法 (ECDSA) 實作有關的錯誤，可允許透過‘FLUSH+RELOAD’快取跨頻道攻擊暫時洩漏。(CVE-2014-0076)

- 存在與無效 DTLS 片段處理相關的緩衝區溢位錯誤，可導致任意程式碼執行。請注意，只有在用作 DTLS 用戶端或伺服器時此問題才會影響 OpenSSL。(CVE-2014-0195)

- 函式「do_ssl3_write」中存在錯誤，可能允許系統對 NULL 指標解除參照，進而導致拒絕服務攻擊。請注意，只有當啟用了「SSL_MODE_RELEASE_BUFFERS」時，此問題才可能遭惡意利用。(CVE-2014-0198)

- 存在與 DTLS 交握處理相關的錯誤，可導致拒絕服務攻擊。請注意，只有在用作 DTLS 用戶端時此問題才會影響 OpenSSL。
 (CVE-2014-0221)

- 存在不明錯誤，可允許攻擊者使用弱式金鑰產製原料，進而引發簡化攔截式攻擊。
 (CVE-2014-0224)

- 存在與匿名 ECDH 加密套件相關的不明錯誤，可能導致拒絕服務攻擊。請注意，此問題只會影響 OpenSSL TLS 用戶端。(CVE-2014-3470)

根據遠端主機上的 OpenSSL 服務對特製交握的接受度，它容易遭受攔截式 (MiTM) 攻擊。

此瑕疵可藉由告知服務在金鑰內容交換之前開始加密的通訊來允許 MiTM 攻擊者解密或偽造 SSL 訊息，進而使用可預測的金鑰來保護未來流量。

請注意，Nessus 僅測試過 SSL/TLS MiTM 弱點 (CVE-2014-0224)。然而，Nessus 推斷遠端主機上的 OpenSSL 服務也受到其他六個弱點影響，並已於 2014 年 6 月 5 日的 OpenSSL 安全性建公告披露：

  - 函式「ssl3_read_bytes」中存在錯誤，允許將資料插入其他工作階段或允許拒絕服務攻擊。請注意，只有當啟用了「SSL_MODE_RELEASE_BUFFERS」時，此問題才可能遭到利用。(CVE-2010-5298)

  - 存在與橢圓曲線數位簽章演算法 (ECDSA) 實作相關的錯誤，可允許透過「FLUSH+RELOAD」快取側通道攻擊暫時洩漏。(CVE-2014-0076)

  - 存在與無效 DTLS 片段處理相關的緩衝區溢位錯誤，允許任意程式碼執行或允許拒絕服務攻擊。
    請注意，只有在用作 DTLS 用戶端或伺服器時，此問題才會影響 OpenSSL。(CVE-2014-0195)

  - 函式「do_ssl3_write」中存在錯誤，允許系統對 NULL 指標解除參照，可導致拒絕服務攻擊。請注意，只有當啟用了「SSL_MODE_RELEASE_BUFFERS」時，此問題才可能遭到利用。(CVE-2014-0198)

  - 存在與 DTLS 交握處理相關的錯誤，可導致拒絕服務攻擊。請注意，只有在用作 DTLS 用戶端時此問題才會影響 OpenSSL。
    (CVE-2014-0221)

  - 函式「dtls1_get_message_fragment」中存在與匿名 ECDH 加密套件相關的錯誤。這可導致拒絕服務攻擊。請注意，此問題僅影響 OpenSSL TLS 用戶端。(CVE-2014-3470)

OpenSSL 未針對這些弱點發佈單獨的修補程式，而是以單一發行版本修補所有問題。請注意，經過修補後服務仍有弱點，直到服務或主機重新啟動為止。

遠端主機目前執行的 IBM WebSphere Application Server 是比 Fix Pack 10 舊的 8.0 版。因此受到以下弱點影響：

- 存在多個與隨附的 IBM HTTP Server 相關的錯誤，可能允許遠端程式碼執行或拒絕服務。(CVE-2013-5704、CVE-2014-0118、CVE-2014-0226、CVE-2014-0231 / PI22070)

- 存在與橢圓曲線數位簽章演算法 (ECDSA) 實作有關的錯誤，可允許透過‘FLUSH+RELOAD’快取跨頻道攻擊暫時洩漏。(CVE-2014-0076 / PI19700)

- 存在一個與 HTTP 標頭相關的不明錯誤，可允許資訊洩漏。(CVE-2014-3021 / PI08268)

- 存在一個使用虛擬成員管理員 SPI 系統管理工作 'addFileRegistryAccount' 不當建立帳戶而導致的不明錯誤，其允許遠端攻擊者繞過安全性限制。(CVE-2014-3070 / PI16765)

- 存在一個因未限制 web 應用程式內的資源存取權而導致的資訊洩漏弱點。遠端攻擊者可利用此弱點，取得組態資料及其他敏感資訊。(CVE-2014-3083 / PI17768、PI30579 )

- 一個稱為 POODLE 的攔截式 (MitM) 資訊洩漏弱點。此弱點是因為在加密區塊鏈結 (CBC) 模式下，解密使用區塊加密法加密的訊息時，SSL 3.0 處理填補位元組的方式不當所致。MitM 攻擊者若能夠強制受影響的應用程式透過新建立的 SSL 3.0 連線重複傳送相同資料，即可嘗試解密所選的加密文字位元組 256 次。(CVE-2014-3566、PI28435、PI28436、PI28437)

- IPv4 Dispatcher 元件的負載平衡器中有一個不明瑕疵，允許遠端攻擊者造成拒絕服務。(CVE-2014-4764 / PI21189)

- 存在一個與管理主控台相關的不明輸入驗證錯誤，允許跨網站指令碼和跨網站要求偽造攻擊。
 (CVE-2014-4770、CVE-2014-4816 / PI23055)

- 存在一個與「啟用通訊的應用程式」(CEA) 服務相關的錯誤，可允許 XML 外部實體插入 (XXE) 攻擊，導致資訊洩漏。只有在已啟用 CEA 的情況下才會發生此問題，而 CEA 預設為停用。(CVE-2014-6166 / PI25310)

- 存在一個輸入驗證錯誤，與使用 URL 重寫的工作階段輸入相關，可能會導致跨網站指令碼攻擊。(CVE-2014-6167 / PI23819)

- 存在一個與管理主控台相關的錯誤，其允許點擊劫持攻擊。(CVE-2014-6174 / PI27152)

遠端主機受到 GLSA-201404-07 中所述的弱點影響 (OpenSSL：資訊洩漏)

在 OpenSSL 中發現多個弱點：
OpenSSL 未正確處理 TLS 活動訊號延伸模組中的記憶體，進而導致每個要求的 64kb 資訊洩漏，其中可能包括私密金鑰 (「Heartbleed 錯誤」，僅限 OpenSSL 1.0.1，CVE-2014-0160)。
 OpenSSL 的 Montgomery 階梯實作不當處理交換作業 (CVE-2014-0076)。
 影響：

遠端攻擊者可惡意利用這些問題洩漏資訊，其中包括私密金鑰或其他敏感資訊，或執行側通道攻擊來取得 ECDSA nonce。
 因應措施：

停用 tls-heartbeat USE 旗標 (預設為啟用) 為針對 CVE-2014-0160 問題的因應措施。

遠端主機上安裝的 VMware Workstation 版本為比 10.0.2 舊的 10.x 版。因此，據報在 OpenSSL 程式庫中受到以下弱點影響：

- 存在與橢圓曲線數位簽章演算法 (ECDSA) 實作有關的錯誤，可允許透過‘FLUSH+RELOAD’快取跨頻道攻擊暫時洩漏。(CVE-2014-0076)

- 存在被稱為 'Heartbleed Bug' 的超出邊界讀取錯誤，此錯誤與處理 TLS 活動訊號延伸模組有關，可導致攻擊者取得敏感資訊，例如主要金鑰內容、次要金鑰內容和其他受保護的內容。
 (CVE-2014-0160)

遠端主機上安裝的 IBM General Parallel File System (GPFS) 版本是 3.5.0.17 以前的版本。因此會受到和 OpenSSL 有關的多個弱點影響：

- 存在一個資訊洩漏弱點，這是因為 OpenSSL 程式庫中的一個瑕疵由 ECDSA (橢圓曲線數位簽章演算法) 中的實作錯誤所造成。攻擊者可能惡意利用這個弱點復原 ECDSA nonce。(CVE-2014-0076)

- 存在一個資訊洩漏弱點，這是因為 OpenSSL 程式庫中的瑕疵所導致，通常又稱為 Heartbleed 錯誤。攻擊者可能重複惡意利用此弱點，進而從裝置讀取高達 64KB 的記憶體。(CVE-2014-0160)

已知遠端 Cisco ONS 裝置執行的軟體版本會受到多個 OpenSSL 相關的弱點影響：

- 存在與橢圓曲線數位簽章演算法 (ECDSA) 實作有關的錯誤，可允許透過‘FLUSH+RELOAD’快取跨頻道攻擊暫時洩漏。(CVE-2014-0076)

- 存在與匿名 ECDH 加密套件相關的不明錯誤，可導致拒絕服務攻擊。請注意，此問題只會影響 OpenSSL TLS 用戶端。(CVE-2014-3470)

遠端主機執行的 McAfee ePolicy Orchestrator 版本受到 OpenSSL 程式庫瑕疵所引起的多個弱點影響：

  - 函式「ssl3_read_bytes」中存在錯誤，可允許將資料插入其他工作階段或允許拒絕服務攻擊。請注意，只有當啟用了「SSL_MODE_RELEASE_BUFFERS」時，此問題才可能遭到利用。(CVE-2010-5298)

  - 存在與橢圓曲線數位簽章演算法 (ECDSA) 實作相關的錯誤，可允許透過「FLUSH+RELOAD」快取側通道攻擊暫時洩漏。(CVE-2014-0076)

  - 存在與無效 DTLS 片段處理相關的緩衝區溢位錯誤，可導致任意程式碼執行。請注意，只有在用作 DTLS 用戶端或伺服器時，此問題才會影響 OpenSSL。(CVE-2014-0195)

  - 函式「do_ssl3_write」中存在錯誤，可能允許系統對 NULL 指標解除參照，進而導致拒絕服務攻擊。請注意，只有當啟用了「SSL_MODE_RELEASE_BUFFERS」時，此問題才可能遭到利用。(CVE-2014-0198)

  - 存在與 DTLS 交握處理相關的錯誤，可導致拒絕服務攻擊。請注意，只有在用作 DTLS 用戶端時此問題才會影響 OpenSSL。
    (CVE-2014-0221)

  - 存在不明錯誤，可允許攻擊者使用弱式金鑰產製原料，進而引發簡化攔截式攻擊。
    (CVE-2014-0224)

  - 存在與匿名 ECDH 加密套件相關的不明錯誤，可導致拒絕服務攻擊。請注意，此問題僅影響 OpenSSL TLS 用戶端。(CVE-2014-3470)

根據 Web 伺服器的標題，遠端 Web 伺服器上託管的 HP System Management Homepage (SMH) 版本中，OpenSSL 程式庫實作受到以下弱點影響：

- ssl3_read_bytes() 函式中存在一個錯誤，允許攻擊者將資料插入其他工作階段。請注意，只有當啟用了「SSL_MODE_RELEASE_BUFFERS」時，此問題才可能遭惡意利用。(CVE-2010-5298)

- 存在一個與橢圓曲線數位簽章演算法 (ECDSA) 實作相關的錯誤，可能允許透過「FLUSH+RELOAD」快取側通道攻擊暫時洩漏。(CVE-2014-0076)

- 存在一個與無效 DTLS 片段處理相關的緩衝區溢位情形，可導致任意程式碼執行。請注意，只有在用作 DTLS 用戶端或伺服器時此問題才會影響 OpenSSL。(CVE-2014-0195)

- do_ssl3_write() 函式中存在一個錯誤，其允許 NULL 指標遭到解除參照，進而導致拒絕服務情形。請注意，只有當啟用了「SSL_MODE_RELEASE_BUFFERS」時，此問題才可能遭到惡意利用。(CVE-2014-0198)

- 存在與 DTLS 交握處理相關的錯誤，可導致拒絕服務攻擊。請注意，只有在用作 DTLS 用戶端時此問題才會影響 OpenSSL。
 (CVE-2014-0221)

- 存在不明錯誤，可允許攻擊者使用弱式金鑰產製原料，進而引發簡化攔截式攻擊。(CVE-2014-0224)

- 存在一個與匿名 ECDH 加密套件相關的不明錯誤，可導致拒絕服務攻擊。請注意，此問題只會影響 OpenSSL TLS 用戶端。
 (CVE-2014-3470)

遠端主機執行的 Mac OS X 10.9.x 版本比 10.9.5 版舊。此項更新包含下列元件的多項安全性相關修正：

- apache_mod_php
 - Bluetooth
 - CoreGraphics
 - Foundation
 - Intel Graphics Driver
 - IOAcceleratorFamily
 - IOHIDFamily
 - IOKit
 - Kernel
 - Libnotify
 - OpenSSL
 - QT Media Foundation
 - ruby

請注意，如果成功惡意利用多數嚴重問題，將會導致任意程式碼執行。

ID	名稱	產品	系列	已發布	已更新	嚴重性
76580	McAfee VirusScan Enterprise for Linux 多個 OpenSSL 弱點	Nessus	Misc.	2014/7/17	2022/4/11	medium
77200	OpenSSL「ChangeCipherSpec」MiTM 弱點	Nessus	Misc.	2014/8/14	2021/3/11	medium
81401	IBM WebSphere Application Server 8.0 < Fix Pack 10 多個弱點 (POODLE)	Nessus	Web Servers	2015/2/18	2019/11/25	medium
73407	GLSA-201404-07：OpenSSL：資訊洩漏	Nessus	Gentoo Local Security Checks	2014/4/8	2022/5/5	high
73674	VMware Workstation 10.x < 10.0.2 OpenSSL 程式庫多個弱點 (VMSA-2014-0004) (Heartbleed)	Nessus	Windows	2014/4/21	2024/3/27	high
74104	IBM General Parallel File System 3.5 < 3.5.0.17 多個 OpenSSL 弱點 (Heartbleed)	Nessus	Windows	2014/5/20	2023/4/25	high
76130	OpenSSL 中的 Cisco ONS 15400 系列裝置有多個弱點	Nessus	CISCO	2014/6/18	2019/11/26	low
76145	McAfee ePolicy Orchestrator 多個 OpenSSL 弱點 (SB10075)	Nessus	Misc.	2014/6/19	2020/7/22	medium
76345	HP System Management Homepage < 7.2.4.1 / 7.3.3.1 OpenSSL 多個弱點	Nessus	Web Servers	2014/7/2	2022/4/11	medium
77748	Mac OS X 10.9.x < 10.9.5 多個弱點	Nessus	MacOS X Local Security Checks	2014/9/18	2018/7/14	critical

偵測

搜尋 Plugin

medium

medium

medium

high

high

high

low

medium

medium

critical