在 OpenSSL 中發現三個安全性問題：針對 ECDSA (PKCS7_dataDecode() 和 CMS_decrypt_set1_pkey() 中的 padding oracle) 的定時攻擊，據發現，隨機數字產生 (RNG) 的功能目的在預設未使用 fork() syscall 的情況下，防止父處理程序和子處理程序之間共用 RNG 狀態。

遠端主機上安裝的測試產品版本比測試版本舊。因此，該應用程式受到以下弱點影響：

  - 通常在 OpenSSL EC 群組中，總是存在一個輔助因子，並且該輔助因子用於抗旁路的程式碼路徑。不過，在某些情況下，可能使用明確的參數 (而非使用具名曲線) 建構群組。在這些情況下，這類群組可能沒有餘因式存在。
    即使所有參數都符合已知的具名曲線，也會發生這種情況。如果使用這類曲線，則 OpenSSL 會回復為非防旁路程式碼路徑，這在 ECDSA 簽名作業期間，可能會導致完整金鑰復原。為了易於受到影響，攻擊者必須能夠在使用 libcrypto 的應用程式正在使用不存在餘因式的明確參數時，建立大量簽章計時。為避免疑義，libssl 因為從不使用明確參數而不易受到影響。OpenSSL 1.1.1、1.1.0 和 1.0.2 版受到此問題影響。(CVE-2019-1547)

  - OpenSSL 1.1.1 引入了重寫的亂數產生器 (RNG)。其目的是為了包含發生 fork() 系統呼叫時的保護機制，以確保父處理程序和子處理程序不會共用相同的 RNG 狀態。不過，在預設情況下不使用此保護機制。此問題的部分緩解措施是，高精確度計時器的輸出會混入 RNG 狀態，因此父子處理程序共用狀態的可能性會大幅降低。如果應用程式已明確呼叫使用 OPENSSL_INIT_ATFORK 的 OPENSSL_init_crypto()，則此問題完全不會發生。OpenSSL 1.1.1 受到此問題影響。
    (CVE-2019-1549)

  - 在攻擊者收到解密嘗試成功或失敗的自動通知的情況下，攻擊者在傳送大量要解密的訊息之後，可利用 Bleichenbacher padding oracle 攻擊恢復 CMS/PKCS7 傳輸的加密金鑰，或解密任何之前以公開 RSA 金鑰加密的 RSA 加密訊息。
    如果應用程式將憑證與 CMS_decrypt 或 PKCS7_decrypt 函式的私密 RSA 金鑰一起使用，以選擇正確的收件者資訊進行解密，則不會受到影響。(CVE-2019-1563)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

遠端 Redhat Enterprise Linux 8 主機上安裝的套件受到 RHSA-2020: 1840 公告中提及的多個弱點影響。

  - openssl：側通道弱式加密弱點 (CVE-2019-1547)

  - openssl：fork() 中存在資訊洩漏 (CVE-2019-1549)

  - openssl：PKCS7_dataDecode 和 CMS_decrypt_set1_pkey 中存在資訊洩漏 (CVE-2019-1563)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

在攻擊者收到解密嘗試成功或失敗的自動通知的情況下，攻擊者在傳送大量要解密的訊息之後，可利用 Bleichenbacher padding oracle 攻擊恢復 CMS/PKCS7 傳輸的加密金鑰或解密任何之前以公開 RSA 金鑰加密的 RSA 加密訊息。如果應用程式將憑證與 CMS_decrypt 或 PKCS7_decrypt 函式的私密 RSA 金鑰一起使用，以選擇正確的收件者資訊進行解密，則它們不會受到影響。已在 OpenSSL 1.1.1d 中修正 (受影響的是 1.1.1-1.1.1c)。
已在 OpenSSL 1.1.0l 中修正 (受影響的是 1.1.0-1.1.0k)。已在 OpenSSL 1.0.2t 中修正 (受影響的是 1.0.2-1.0.2s)。(CVE-2019-1563)

通常在 OpenSSL EC 群組中，總是存在一個輔助因子，並且該輔助因子用於抗旁路的程式碼路徑。不過，在某些情況下，可能使用明確的參數 (而非使用具名曲線) 建構群組。在這些情況下，這類群組可能沒有餘因式存在。即使所有參數都符合已知的具名曲線，也會發生這種情況。如果使用這類曲線，則 OpenSSL 會回復為非防旁路程式碼路徑，這在 ECDSA 簽名作業期間，可能會導致完整金鑰復原。
為了易於受到影響，攻擊者必須能夠在使用 libcrypto 的應用程式正在使用不存在餘因式的明確參數時，建立大量簽章計時。為避免疑義，libssl 因為從不使用明確參數而不易受到影響。已在 OpenSSL 1.1.1d 中修正 (受影響的是 1.1.1-1.1.1c)。已在 OpenSSL 1.1.0l 中修正 (受影響的是 1.1.0-1.1.0k)。已在 OpenSSL 1.0.2t 中修正 (受影響的是 1.0.2-1.0.2s)。
(CVE-2019-1547)

OpenSSL 1.1.1 引入了重寫的亂數產生器 (RNG)。
其目的是為了包含發生 fork() 系統呼叫時的保護機制，以確保父處理程序和子處理程序不會共用相同的 RNG 狀態。不過，在預設情況下不使用此保護機制。此問題的部分緩解措施是，高精確度計時器的輸出會混入 RNG 狀態，因此父子處理程序共用狀態的可能性會大幅降低。如果應用程式已明確呼叫使用 OPENSSL_INIT_ATFORK 的 OPENSSL_init_crypto()，則此問題完全不會發生。已在 OpenSSL 1.1.1d 中修正 (受影響的是 1.1.1-1.1.1c)。(CVE-2019-1549)

遠端 Redhat Enterprise Linux 6 / 7 主機上安裝的套件受到 RHSA-2020: 1337 公告中提及的多個弱點影響。

  - httpd：早期推送中發生記憶體損壞 (CVE-2019-10081)

  - httpd：h2 連接關閉中存在釋放後讀取問題 (CVE-2019-10082)

  - httpd：mod_proxy 錯誤頁面中存在受限的跨網站指令碼 (CVE-2019-10092)

  - httpd：mod_remoteip 中存在 NULL 指標解除參照問題 (CVE-2019-10097)

  - httpd：mod_rewrite 中可能存在開放重新導向 (CVE-2019-10098)

  - openssl：側通道弱式加密弱點 (CVE-2019-1547)

  - openssl：fork() 中存在資訊洩漏 (CVE-2019-1549)

  - openssl：PKCS7_dataDecode 和 CMS_decrypt_set1_pkey 中存在資訊洩漏 (CVE-2019-1563)

  - httpd：mod_rewrite 組態容易受到開放重新導向影響 (CVE-2020-1927)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Cesar Pereida Garcia、Sohaib ul Hassan、Nicola Tuveri、Iaroslav Gridin、Alejandro Cabrera Aldaya 和 Billy Brumley 發現 OpenSSL 未正確處理 ECDSA 簽章。攻擊者可能利用此問題發動計時旁路攻擊並復原私密 ECDSA 金鑰。 (CVE-2019-1547)

Matt Caswell 發現 OpenSSL 未正確處理亂數產生器 (RNG)。這可能會導致使用 fork () 系統呼叫的應用程式在父項和子項之間共用相同的 RNG 狀態，這與預期行為相反。此問題僅影響 Ubuntu 18.04 LTS 和 Ubuntu 19.10。(CVE-2019-1549)

Guido Vranken 發現，OpenSSL 未正確執行 x86_64 Montgomery 平方程序。雖然不太可能，但遠端攻擊者可能會利用此問題復原私密金鑰。(CVE-2019-1551)

Bernd Edlinger 發現，OpenSSL 未正確處理某些解密函式。在特定情形下，遠端攻擊者可能會利用此問題發動 padding oracle 攻擊並解密流量。(CVE-2019-1563)。

請注意，Tenable Network Security 已直接從 Ubuntu 安全性公告擷取前述描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

遠端 CentOS Linux 8 主機上安裝的套件受到 CESA-2020: 1840 公告中提及的多個弱點影響。

  - openssl：側通道弱式加密弱點 (CVE-2019-1547)

  - openssl：fork() 中存在資訊洩漏 (CVE-2019-1549)

  - openssl：PKCS7_dataDecode 和 CMS_decrypt_set1_pkey 中存在資訊洩漏 (CVE-2019-1563)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

遠端 Oracle Linux 8 主機中安裝的套件受到 ELSA-2020-1840 公告中提及的多個弱點影響。

  - 通常在 OpenSSL EC 群組中，總是存在一個輔助因子，並且該輔助因子用於抗旁路的程式碼路徑。不過，在某些情況下，可能使用明確的參數 (而非使用具名曲線) 建構群組。在這些情況下，這類群組可能沒有餘因式存在。即使所有參數都符合已知的具名曲線，也會發生這種情況。如果使用這類曲線，則 OpenSSL 會回復為非防旁路程式碼路徑，這在 ECDSA 簽名作業期間，可能會導致完整金鑰復原。為了易於受到影響，攻擊者必須能夠在使用 libcrypto 的應用程式正在使用不存在餘因式的明確參數時，建立大量簽章計時。為避免疑義，libssl 因為從不使用明確參數而不易受到影響。已在 OpenSSL 1.1.1d 中修正 (受影響的是 1.1.1-1.1.1c)。已在 OpenSSL 1.1.0l 中修正 (受影響的是 1.1.0-1.1.0k)。已在 OpenSSL 1.0.2t 中修正 (受影響的是 1.0.2-1.0.2s)。(CVE-2019-1547)

  - OpenSSL 1.1.1 引入了重寫的亂數產生器 (RNG)。其目的是為了包含發生 fork() 系統呼叫時的保護機制，以確保父處理程序和子處理程序不會共用相同的 RNG 狀態。不過，在預設情況下不使用此保護機制。此問題的部分緩解措施是，高精確度計時器的輸出會混入 RNG 狀態，因此父子處理程序共用狀態的可能性會大幅降低。如果應用程式已明確呼叫使用 OPENSSL_INIT_ATFORK 的 OPENSSL_init_crypto()，則此問題完全不會發生。已在 OpenSSL 1.1.1d 中修正 (受影響的是 1.1.1-1.1.1c)。(CVE-2019-1549)

  - 在攻擊者收到解密嘗試成功或失敗的自動通知的情況下，攻擊者在傳送大量要解密的訊息之後，可利用 Bleichenbacher padding oracle 攻擊恢復 CMS/PKCS7 傳輸的加密金鑰，或解密任何之前以公開 RSA 金鑰加密的 RSA 加密訊息。如果應用程式將憑證與 CMS_decrypt 或 PKCS7_decrypt 函式的私密 RSA 金鑰一起使用，以選擇正確的收件者資訊進行解密，則它們不會受到影響。已在 OpenSSL 1.1.1d 中修正 (受影響的是 1.1.1-1.1.1c)。已在 OpenSSL 1.1.0l 中修正 (受影響的是 1.1.0-1.1.0k)。已在 OpenSSL 1.0.2t 中修正 (受影響的是 1.0.2-1.0.2s)。(CVE-2019-1563)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
129506	Debian DSA-4539-1：openssl - 安全性更新	Nessus	Debian Local Security Checks	2019/10/2	2024/4/22	medium
128116	OpenSSL 1.1.1 < 1.1.1d 多個弱點	Nessus	Web Servers	2019/8/23	2023/8/8	medium
143010	RHEL 8：openssl (RHSA-2020: 1840)	Nessus	Red Hat Local Security Checks	2020/11/18	2023/5/25	medium
138622	Amazon Linux 2：openssl11 (ALAS-2020-1456)	Nessus	Amazon Linux Local Security Checks	2020/7/20	2024/3/1	medium
135235	RHEL 6/7：Red Hat JBoss Core Services Apache HTTP Server 2.4.37 SP2 (RHSA-2020: 1337)	Nessus	Red Hat Local Security Checks	2020/4/6	2024/4/28	critical
136967	Ubuntu 16.04 LTS / 18.04 LTS：OpenSSL 弱點 (USN-4376-1)	Nessus	Ubuntu Local Security Checks	2020/5/29	2023/10/20	medium
145975	CentOS 8：openssl (CESA-2020: 1840)	Nessus	CentOS Local Security Checks	2021/2/1	2021/3/23	medium
180920	Oracle Linux 8：openssl (ELSA-2020-1840)	Nessus	Oracle Linux Local Security Checks	2023/9/7	2023/9/7	medium

偵測

搜尋 Plugin

medium

medium

medium

medium

critical

medium

medium

medium