远程iraclelinux 4 主机上存在安装的程序包该程序包受到 AXSA:2014-071:01 公告中提及的多个漏洞的影响。

    OpenSSL 工具包支持计算机之间的安全通信。OpenSSL 中包含证书管理工具和共享库，用于提供各种加密算法和协议。
     CVE-2013-4353 在 1.0.1f 之前的 OpenSSL 1.0.1 中ssl/s3_both.c 中的 ssl3_take_mac 函数允许远程 TLS 服务器通过 TLS 握手中构建的 Next Protocol Negotiation 记录造成拒绝服务空指针取消引用和应用程序崩溃。
     CVE-2013-64491.0.2 之前的 OpenSSL 中ssl/s3_lib.c 的 ssl_get_algorithm2 函数从错误的数据结构中获取特定版本号这允许远程攻击者通过从 TLS 构建的流量造成拒绝服务后台程序崩溃 1.2 客户端。
     CVE-2013-6450 OpenSSL 至 0.9.8y 和 1.x 至 1.0.1e 中的 DTLS 重新传输实现不会正确维护摘要和加密上下文的数据结构这可允许中间人攻击者触发使用不同的上下文通过干扰数据包传输与 ssl/d1_both.c 和 ssl/t1_enc.c 相关。
    修复的缺陷：
     作为升级到版本 1.0.1的一部分某些共享库符号已被删除。这造成了 Ruby 语言 OpenSSL 绑定中的一个问题。已添加缺少的符号。
     以前openssl 在 Cyrix CPU 上运行 RDRAND 指令。这些版本不受支持否则 OpenSSL 将在启动时崩溃。此 Cyrix CPU 检测已修复并且 OpenSSL 可在 Cyrix CPU 上按预期运行。
     之前传输层安全公告了一些不支持的椭圆曲线。当服务器选择它们时客户端无法与服务器通信。此问题已修复TLS 客户端现在仅公告受支持的曲线。

Tenable 已直接从MiracleLinux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

MagicLinux 4openssl-1.0.1e-16.AXS4.4 (AXSA:2014-071:01)

medium Nessus 插件 ID 289166

版本 1.1