AlmaLinux 9.2 [TuxCare] 安全更新：openssl / openssl-devel / openssl-libs / openssl-perl （ALMALINUX9.2：CLSA-2024：1735119353）

high Nessus 插件 ID 352096

语言：

简介

AlmaLinux 主机缺少一个或多个安全更新。

描述

AlmaLinux 9.2 主机上存在安装的程序包，该程序包受到 TuxCare ALMALINUX9.2：CLSA-2024：1735119353公告中提及的漏洞的影响。

- 问题摘要：调用 OpenSSL API 函数 SSL_free_buffers 可能会在某些情况下导致之前释放的内存遭到访问影响摘要：释放后使用可造成一系列潜在后果，例如有效数据损坏、崩溃或执行任意代码。但是，只有直接调用 SSL_free_buffers 函数的应用程序会受到此问题的影响。不调用此函数的应用程序不会受到攻击。我们的调查表明应用程序很少使用此函数。SSL_free_buffers 函数用于释放处理网络传入记录时使用的内部 OpenSSL 缓冲区。只有在缓冲区当前未在使用中时，调用才应成功。但是，已发现在两种情况下，缓冲区即使仍在使用时也会被释放。第一种情况是，OpenSSL 已从网络接收到记录标头并加以处理，但完整的记录正文尚未到达。在这种情况下，即使只有部分记录得到了处理且缓冲区仍在使用中，SSL_free_buffers 仍可成功调用。第二种情况是，OpenSSL 已接收并处理包含应用程序数据的完整记录，但应用程序仅读取了部分数据。同样，在这种情况下，即使缓冲区仍在使用中，对 SSL_free_buffers 的调用也会成功。尽管这些情况可能在正常操作期间意外发生，但恶意攻击者仍可尝试设计发生这种情况的机构。我们并未发现此问题被主动利用。3.3、3.2、3.1 和 3.0 中的 FIPS 模块不受此问题影响。(CVE-2024-4741)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。