AlmaLinux 9.6 [TuxCare] 安全更新：openssl / openssl-devel / openssl-libs / openssl-perl （ALMALINUX9.6：CLSA-2025：1751550314）

medium Nessus 插件 ID 360932

语言：

简介

AlmaLinux 主机缺少一个或多个安全更新。

描述

AlmaLinux 9.6 主机上存在安装的程序包，该程序包受到 TuxCare ALMALINUX9.6：CLSA-2025：1751550314公告中提及的漏洞的影响。

- 问题摘要：使用 RFC7250 原始公钥 (RPK) 对服务器进行身份验证的客户端可能不会注意到服务器未经身份验证，因为当已设置 SSL_VERIFY_PEER 验证模式时，握手不会按预期方式中止。影响摘要：使用原始公钥的 TLS 和 DTLS 连接在客户端未能检测到服务器身份验证失败的情况下，可能容易遭受中间人攻击。在所有 TLS 客户端和 TLS 服务器中，RPK 默认禁用。该问题仅在以下情况下出现：当 TLS 客户端通过服务器明确启用 RPK，且服务器同样启用了发送 RPK（而非 X.509 证书链）的功能。受影响的客户端是将验证模式设定为 SSL_VERIFY_PEER，并依赖在服务器的 RPK 与预期的公钥之一不匹配时握手机制失败的客户端。启用服务器端原始公钥的客户端仍可发现原始公钥验证失败的情况，只需调用 SSL_get_verify_result() 并采取相应措施便不会受到影响。该问题是在 OpenSSL 3.2 中初始实现 RPK 支持时引入的。3.4、3.3、3.2、3.1 和 3.0 中的 FIPS 模块不受此问题影响。 (CVE-2024-12797)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。