远程主机上安装的 OpenSSL 版本低于 1.0.2e。因此，它受到公告 1.0.2e 中提及的多个漏洞影响。

  - 在低于 0.9.8zh 的 OpenSSL、低于 1.0.0t 的 OpenSSL 1.0.0、低于 1.0.1q 的 OpenSSL 1.0.1 及低于 1.0.2e 的 OpenSSL 1.0.2 中，crypto/asn1/tasn_dec.c 的 ASN1_TFLG_COMBINE 实现会错误处理畸形 X509_ATTRIBUTE 数据所引起的错误，这允许远程攻击者通过触发 PKCS#7 或 CMS 应用程序解码失败，从进程内存取得敏感信息。(CVE-2015-3195)

  - 1.0.1q 之前的 OpenSSL 1.0.1 以及 1.0.2e 之前的 OpenSSL 1.0.2 中的 crypto/rsa/rsa_ameth.c 允许远程攻击者通过缺少掩码生成函数参数的 RSA PSS ASN.1 签名造成拒绝服务（空指针取消引用和应用程序崩溃）。(CVE-2015-3194)

  - 在 x86_64 平台上，1.0.2e 之前的 OpenSSL 1.0.2 中的 crypto/bn/asm/x86_64-mont5.pl 内的 Montgomery 平方实现（由 BN_mod_exp 函数使用）无法正确处理进位传送，并会产生错误的输出，这使远程攻击者能够更轻松地针对 (1) Diffie-Hellman (DH) 或 (2) Diffie-Hellman Ephemeral (DHE) 加密套件的使用进行攻击，进而获取敏感私钥信息。
    (CVE-2015-3193)

  - 1.0.2e 之前的 OpenSSL 1.0.2 的 ssl/s3_clnt.c 中的 ssl3_get_key_exchange 函数允许远程服务器通过匿名 Diffie-Hellman (DH) ServerKeyExchange 消息中的零 p 值造成拒绝服务（分段错误）。(CVE-2015-1794)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

OpenSSL 1.0.2 < 1.0.2e 多个漏洞

high Nessus 插件 ID 87222

版本 1.18

版本 1.17

版本 1.16

版本 1.15

版本 1.18 Oct 23, 2024, 3:47 PM Plugin metadata (update thorough_tests attribute) Plugin Feed: 202410231547
版本 1.17 Oct 7, 2024, 1:27 PM Plugin categorization (adding new 'component' to component plugins) Plugin Feed: 202410071327
版本 1.16 Jun 7, 2024, 4:47 PM CVSS metrics ("CVSSv3 score" set to 7.5) CVSS metrics ("CVSSv3 vector" set to "CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N") CVSS temporal metrics ("CVSSv3 temporal vector" set to "CVSS:3.0/E:U/RL:O/RC:C") Detection (updated detection logic) Plugin metadata Plugin Feed: 202406071647
版本 1.15 Aug 21, 2023, 6:09 PM Plugin categorization Plugin requirements Plugin Feed: 202308211809