An update of the libgcrypt package has been released.

libgcrypt 用のこの更新は、次の問題を修正します：

キャッシュサイドチャネル攻撃の軽減：

CVE-2019-12904：AESのC実装は、フラッシュとリロードのサイドチャネル攻撃に対して脆弱です。これは、物理アドレスが他のプロセスで使用できるためです。（C言語の実装は、アセンブリ言語の実装が利用できないプラットフォームで使用されます。）（bsc#1138939）

その他のバグ修正：コンストラクターから完全なFIPS自己テストを実行しません（bsc#1097073）

コンストラクターから呼び出された場合に、バイナリ整合性を除くすべてのセルフテストをスキップします（bsc#1097073）

fipsモードでRSA keygenの最小サイズを実施します（bsc#1125740）

一部のテストを2回実行することを回避します。

初期化の競合状態を修正しました。

cavs_driver.plのenv-script-interpreterを修正しました

fipsモードでの起動の失敗を引き起こす一部の状況での冗長fipsテストを修正しました。（bsc#1097073）

これは、エントロピーが不十分なFIPSモードでのシステムの起動中に役立ちます。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 在 Libgcrypt 1.8.4中，AES 的 C 實作容易受到排清並重新載入側通道攻擊，因為實體位址可供其他處理程序使用。(C 實作用於無法使用組合語言實作的平台上。)注意：供應商的立場是，無法驗證問題報告，因為沒有攻擊的描述 (CVE-2019-12904)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在 Libgcrypt 1.8.4中，AES 的 C 实现容易遭受刷新并重新加载边信道攻击，因为物理地址可供其他进程使用。（C 实现在汇编语言实现不可用的平台上使用。）注意：供应商的位置是无法验证问题报告，因为没有攻击的描述 (CVE-2019-12904)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

libgcrypt 用のこの更新は、次の問題を修正します：

修正されたセキュリティ問題：

CVE-2019-12904：AES実装のflush-and-reloadサイドチャネル攻撃を修正しました（bsc#1138939）。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Libgcrypt 1.8.4では、物理アドレスが他のプロセスに利用できるため、AES の C 実装は、flush-and-reload サイドチャネル攻撃に脆弱です。（C の実装は、アセンブリ言語の実装を利用できないプラットフォームで使用されます。）注：攻撃についての説明がないため、問題レポートを検証できないというのが、ベンダーの立場です（CVE-2019-12904）。

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

According to the versions of the libgcrypt package installed, the EulerOS Virtualization for ARM 64 installation on the remote host is affected by the following vulnerabilities :

  - It was discovered that there was a ECDSA timing attack     in the libgcrypt20 cryptographic library. Version     affected: 1.8.4-5, 1.7.6-2+deb9u3, and 1.6.3-2+deb8u4.
    Versions fixed: 1.8.5-2 and     1.6.3-2+deb8u7.(CVE-2019-13627)

  - In Libgcrypt 1.8.4, the C implementation of AES is     vulnerable to a flush-and-reload side-channel attack     because physical addresses are available to other     processes. (The C implementation is used on platforms     where an assembly-language implementation is     unavailable.)(CVE-2019-12904)

Note that Tenable Network Security has extracted the preceding description block directly from the EulerOS security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

libgcrypt 用のこの更新は、次の問題を修正します：

キャッシュサイドチャネル攻撃の軽減：

  - CVE-2019-12904：AESのC実装は、フラッシュとリロードのサイドチャネル攻撃に対して脆弱です。これは、物理アドレスが他のプロセスで使用できるためです。（C言語の実装は、アセンブリ言語の実装が利用できないプラットフォームで使用されます。）（bsc#1138939）

その他のバグ修正：

  - コンストラクターから完全なFIPS自己テストを実行しません（bsc#1097073）

  - コンストラクターから呼び出された場合に、バイナリ整合性を除くすべてのセルフテストをスキップします（bsc#1097073）

  - fipsモードでRSA keygenの最小サイズを実施します（bsc#1125740）

  - 一部のテストを2回実行することを回避します。

  - 初期化の競合状態を修正しました。

  - cavs_driver.plのenv-script-interpreterを修正しました

  - fipsモードでの起動の失敗を引き起こす一部の状況での冗長fipsテストを修正しました。（bsc#1097073）

これは、エントロピーが不十分なFIPSモードでのシステムの起動中に役立ちます。

この更新はSUSEからインポートされました：SLE-15：更新プロジェクトを更新します。

This update for libgcrypt fixes the following issues :

Security issue fixed :

CVE-2019-12904: Fixed a flush-and-reload side-channel attack in the AES implementation (bsc#1138939).

Note that Tenable Network Security has extracted the preceding description block directly from the SUSE security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - In Libgcrypt 1.8.4, the C implementation of AES is vulnerable to a flush-and-reload side-channel attack     because physical addresses are available to other processes. (The C implementation is used on platforms     where an assembly-language implementation is unavailable.) NOTE: the vendor's position is that the issue     report cannot be validated because there is no description of an attack (CVE-2019-12904)

Note that Nessus relies on the presence of the package as reported by the vendor.

This update for libgcrypt fixes the following issues :

Security issues fixed :

  - CVE-2019-12904: The C implementation of AES is     vulnerable to a flush-and-reload side-channel attack     because physical addresses are available to other     processes. (The C implementation is used on platforms     where an assembly-language implementation is     unavailable.) (bsc#1138939)

Other bugfixes :

  - Don't run full FIPS self-tests from constructor     (bsc#1097073)

  - Skip all the self-tests except for binary integrity when     called from the constructor (bsc#1097073)

  - Enforce the minimal RSA keygen size in fips mode     (bsc#1125740)

  - avoid executing some tests twice.

  - Fixed a race condition in initialization.

  - Fixed env-script-interpreter in cavs_driver.pl

  - Fixed redundant fips tests in some situations causing     failure to boot in fips mode. (bsc#1097073)

This helps during booting of the system in FIPS mode with insufficient entropy.

This update was imported from the SUSE:SLE-15:Update update project.

According to the versions of the libgcrypt packages installed, the EulerOS installation on the remote host is affected by the following vulnerabilities :

  - In Libgcrypt 1.8.4, the C implementation of AES is     vulnerable to a flush-and-reload side-channel attack     because physical addresses are available to other     processes. (The C implementation is used on platforms     where an assembly-language implementation is     unavailable.)(CVE-2019-12904)

  - It was discovered that there was a ECDSA timing attack     in the libgcrypt20 cryptographic library. Version     affected: 1.8.4-5, 1.7.6-2+deb9u3, and     1.6.3-2+deb8u4.(CVE-2019-13627)

Note that Tenable Network Security has extracted the preceding description block directly from the EulerOS security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

This update for libgcrypt fixes the following issues :

Security issues fixed :

CVE-2019-12904: The C implementation of AES is vulnerable to a flush-and-reload side-channel attack because physical addresses are available to other processes. (The C implementation is used on platforms where an assembly-language implementation is unavailable.) (bsc#1138939)

Other bugfixes: Don't run full FIPS self-tests from constructor (bsc#1097073)

Skip all the self-tests except for binary integrity when called from the constructor (bsc#1097073)

Enforce the minimal RSA keygen size in fips mode (bsc#1125740)

avoid executing some tests twice.

Fixed a race condition in initialization.

Fixed env-script-interpreter in cavs_driver.pl

Fixed redundant fips tests in some situations causing failure to boot in fips mode. (bsc#1097073)

This helps during booting of the system in FIPS mode with insufficient entropy.

Note that Tenable Network Security has extracted the preceding description block directly from the SUSE security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
203084	Photon OS 3.0: Libgcrypt PHSA-2019-3.0-0036	Nessus	PhotonOS Local Security Checks	2024/7/23	2024/7/24	medium
126770	SUSE SLED15 / SLES15セキュリティ更新プログラム：libgcrypt（SUSE-SU-2019:1859-1）	Nessus	SuSE Local Security Checks	2019/7/17	2024/5/9	medium
222563	Linux Distros 未修補弱點：CVE-2019-12904	Nessus	Misc.	2025/3/4	2025/9/3	medium
222563	Linux Distros 未修补的漏洞: CVE-2019-12904	Nessus	Misc.	2025/3/4	2025/9/3	medium
127089	SUSE SLED15 / SLES15セキュリティ更新プログラム：libgcrypt（SUSE-SU-2019:1971-1）	Nessus	SuSE Local Security Checks	2019/7/26	2024/5/8	medium
222563	Linux Distros のパッチ未適用の脆弱性: CVE-2019-12904	Nessus	Misc.	2025/3/4	2025/9/3	medium
132839	EulerOS Virtualization for ARM 64 3.0.5.0 : libgcrypt (EulerOS-SA-2020-1085)	Nessus	Huawei Local Security Checks	2020/1/13	2022/5/18	medium
135490	Photon OS 1.0: Libgcrypt PHSA-2020-1.0-0288	Nessus	PhotonOS Local Security Checks	2020/4/15	2020/4/21	medium
126976	openSUSEセキュリティ更新プログラム：libgcrypt（openSUSE-2019-1792）	Nessus	SuSE Local Security Checks	2019/7/24	2024/5/8	medium
127089	SUSE SLED15 / SLES15 Security Update : libgcrypt (SUSE-SU-2019:1971-1)	Nessus	SuSE Local Security Checks	2019/7/26	2024/5/8	medium
203109	Photon OS 2.0: Libgcrypt PHSA-2020-2.0-0227	Nessus	PhotonOS Local Security Checks	2024/7/23	2024/7/23	medium
222563	Linux Distros Unpatched Vulnerability : CVE-2019-12904	Nessus	Misc.	2025/3/4	2025/9/3	medium
126976	openSUSE Security Update : libgcrypt (openSUSE-2019-1792)	Nessus	SuSE Local Security Checks	2019/7/24	2024/5/8	medium
130816	EulerOS 2.0 SP8 : libgcrypt (EulerOS-SA-2019-2107)	Nessus	Huawei Local Security Checks	2019/11/12	2022/5/18	medium
126770	SUSE SLED15 / SLES15 Security Update : libgcrypt (SUSE-SU-2019:1859-1)	Nessus	SuSE Local Security Checks	2019/7/17	2024/5/9	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium