远程 Redhat Enterprise Linux 9 主机上安装的程序包受到 RHSA-2024: 0310 公告中存在的多个漏洞影响。

  - 问题摘要：在处理密钥和初始化向量 (IV) 长度时发现一个缺陷。
    这会导致某些对称密码在初始化期间出现潜在的截断或溢出漏洞。
    影响汇总：IV 被截断可能会导致非唯一性，从而可能导致某些密码模式失去机密性。调用 EVP_EncryptInit_ex2()、EVP_DecryptInit_ex2() 或 EVP_CipherInit_ex2() 时，系统会在创建密钥和 IV 后处理提供的 OSSL_PARAM 数组。对 OSSL_PARAM 数组中的密钥长度（通过 keylen 参数）或 IV 长度（通过 ivlen 参数）进行的任何更改都不会按预期生效，可能会导致这些值被截断或过度读取。以下密码和密码模式受到影响：RC2、RC4、RC5、CCM、GCM 和 OCB。对于 CCM、GCM 和 OCB 密码模式，IV 被截断可能会导致失去机密性。例如，按照 NIST 的 SP 800-38D 部分 8.2.1 关于在 GCM 模式下为 AES 构建确定性 IV 时，计数器部分被截断可能会导致 IV 重用。密钥截断和溢出以及 IV 溢出都会产生不正确的结果，并且在某些情况下可能会触发内存异常。然而，这些问题目前并未被评估为安全关键问题。更改密钥和/或 IV 长度不被视为常见操作，并且最近引入了易受攻击的 API。此外，应用程序开发人员很可能在测试过程中发现这个问题，因为除非通信中的双方都同样容易受到攻击，否则解密便会失败。出于这些原因，我们预计应用程序受此漏洞影响的可能性非常低。然而，如果应用程序容易受到攻击，那么这个问题应被视为非常严重的问题。出于这些原因，我们将此问题总体评估为“中等”严重性。OpenSSL SSL/TLS 实现不受此问题影响。OpenSSL 3.0 和 3.1 FIPS 提供商不受此影响，因为问题的影响范围在 FIPS 提供商之外。OpenSSL 3.1 至 3.0 容易受此问题影响。
    (CVE-2023-5363)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

检测

RHEL 9：openssl (RHSA-2024: 0310)

high Nessus 插件 ID 189271

版本 1.3