AXSA:2019-4126:04

リリース日: 
2019/08/20 Tuesday - 02:10
題名: 
openssl-1.0.2k-19.el7
影響のあるチャネル: 
Asianux Server 7 for x86_64
Severity: 
Moderate
Description: 

以下項目について対処しました。

[Security Fix]
- OpenSSL DSA 署名アルゴリズムはタイミングサイドチャネル攻撃に対する
脆弱性があります。攻撃者は署名アルゴリズムの変動を利用して、秘密鍵を
復元する可能性があります。(CVE-2018-0734)

- アプリケーションが致命的なプロトコルエラーに遭遇し、(close_notify
を送るためと、それを受信するために)SSL_shutdown() を二度呼ぶ場合、
OpenSSL の OpenSSL に対する応答が、0バイトのレコードが誤った
padding で来た場合の応答と、誤った MAC で来た場合とで異なります。
この挙動の違いがリモートのピアに検出可能な場合、データの解読に
利用できる可能性のあるパディングオラクルに相当します。この攻撃を
成立させるためには "スティッチ" されていない暗号スイートが用いられ
ていることが必要です。"スティッチ"されている暗号スイートとは特定の
最適化されている広く用いられている暗号スイートです。さらに、アプリ
ケーションは、プロトコルエラーが起こった際に、二度 SSL_shutdown()
を呼ぶ必要があります(非推奨)。(CVE-2019-1559)

一部CVEの翻訳文はJVNからの引用になります。
http://jvndb.jvn.jp/

解決策: 

パッケージをアップデートしてください。

追加情報: 

N/A

ダウンロード: 

SRPMS
  1. openssl-1.0.2k-19.el7.src.rpm
    MD5: 246594320906adcff5e2f9f5181298fa
    SHA-256: 6bfb49aa5315bed2e37697d7959a0f5d45ac5249943d9b3c7ed756da4286cdc6
    Size: 3.59 MB

Asianux Server 7 for x86_64
  1. openssl-1.0.2k-19.el7.x86_64.rpm
    MD5: ad632d5f34d745bd50ea04d368515c01
    SHA-256: 39bcae575029f1b832e6802609915f02161b85156167a2706ec7674b26baac13
    Size: 492.24 kB
  2. openssl-devel-1.0.2k-19.el7.x86_64.rpm
    MD5: d81f9034d6fb9c924248194372253677
    SHA-256: 59fbe1ceeaf81391afe548d168aa5c7ec867461aa71f10cc98a0f745fd731448
    Size: 1.51 MB
  3. openssl-libs-1.0.2k-19.el7.x86_64.rpm
    MD5: 35b6128e1a9743a42174195b41642474
    SHA-256: 76d72be4d91d034c75a9d028064419e106478d4bb29bf3a7a3fe0d79b7eb0377
    Size: 1.20 MB
  4. openssl-devel-1.0.2k-19.el7.i686.rpm
    MD5: 6bba5ad86625b50da980f2e26d7afeb5
    SHA-256: a59fbc4ac1a100da2c8fc39fdddfe9faee7dc64a8771c2f3160c9fdfc26a21fc
    Size: 1.51 MB
  5. openssl-libs-1.0.2k-19.el7.i686.rpm
    MD5: b0751e6ad81804a82b531976bd9fb464
    SHA-256: 0514f3e9bdf267f443f5d21a39bbc91774c0a8af7b97a6f47d714bb1845234d1
    Size: 0.97 MB
Copyright© 2007-2015 Asianux. All rights reserved.