远程 Azure Linux 3.0 主机上安装的 cloud-hypervisor-cvm / edk2 / hvloader / nodejs / nodejs18 / openssl 版本低于 测试版本。因此，该程序受到 CVE-2024-4603 公告中提及的一个漏洞影响。

  - 问题摘要检查过长的 DSA 密钥或参数 可能非常慢。影响汇总：
    使用函数 EVP_PKEY_param_check() 或 EVP_PKEY_public_check() 检查 DSA 公钥或 DSA 参数的应用程序 可能会遇到长时间的延迟。如果被检查的密钥或参数来自不受信任的来源这可能会导致拒绝服务。函数 EVP_PKEY_param_check() 或 EVP_PKEY_public_check() 对 DSA 参数执行各种检查。如果模数（“p”参数）太大，则其中某些计算需要很长时间。尝试使用非常大的模数会很慢，并且 OpenSSL 不允许使用模数长度超过 10,000 位的公钥进行签名验证。但是，密钥和参数检查函数在执行检查时不会限制模数大小。当应用程序调用 EVP_PKEY_param_check() 或 EVP_PKEY_public_check() 并提供从不受信任的来源获取的密钥或参数，就可能容易受到拒绝服务攻击。OpenSSL 本身不会在不受信任的 DSA 密钥上调用这些函数因此只有直接调用这些函数的应用程序可能容易受到影响。使用 `-check` 选项时，OpenSSL pkey 和 pkeyparam 命令行应用程序容易受到攻击。OpenSSL SSL/TLS 实现不受此问题影响。OpenSSL 3.0 和 3.1 FIPS 提供程序会受此问题影响。(CVE-2024-4603)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Azure Linux 3.0 安全更新cloud-hypervisor-cvm / edk2 / hvloader / nodejs / nodejs18 / openssl (CVE-2024-4603)

medium Nessus 插件 ID 215479

版本 1.4