远程主机上运行的是 Fix Pack 9 之前的 IBM WebSphere Application Server 8.0 版。因此，它受到以下漏洞的影响：

- 管理控制台中存在跨站脚本缺陷，没有对用户输入进行正确验证。这可能引起远程攻击者使用特别构建的请求在浏览器/服务器信任关系内执行任意脚本代码。
 （CVE-2013-6323、PI04777 和 PI04880）

- 在 SSL/TLS 握手期间处理 SSLv2 恢复时，全局安全工具包中存在一个拒绝服务缺陷。这可能引起远程攻击者使程序崩溃。（CVE-2013-6329、PI05309）

- 使用附加组件时，含 mod_dav 模块的 HTTP 服务器中存在一个缓冲区溢出缺陷。这可能引起远程攻击者导致缓冲区溢出和拒绝服务。（CVE-2013-6438、PI09345）

- OAuth 中存在一个跨站脚本缺陷，没有对用户输入进行正确验证。这可能引起远程攻击者使用特别构建的请求在浏览器/服务器信任关系内执行任意脚本代码。（CVE-2013-6738、PI05661）

- 在发起 SSL/TLS 连接期间处理 X.509 证书链时，Global Security Kit 中存在拒绝服务缺陷。远程攻击者可使用畸形证书链来挂起全局安全工具包，从而导致客户端或服务器崩溃。（CVE-2013-6747、PI09443）

- 解析多部分请求的 Content-Type 标头时，Apache Commons FileUpload 中存在一个拒绝服务缺陷。远程攻击者可使用特别构建请求来导致程序崩溃。
 （CVE-2014-0050、PI12648、PI12926 和 PI13162）

- 椭圆曲线数字签名算法实现中存在一个缺陷，允许恶意进程恢复 ECDSA 临时信息。
 （CVE-2014-0076、PI19700）

- 记录没有赋值的 Cookie 时，“mod_log_config”中存在一个拒绝服务缺陷。远程攻击者可使用特别构建的请求来导致程序崩溃。（CVE-2014-0098、PI13028）

- 未填充“PKCS#1”的“sun.security.rsa.RSAPadding”中存在一个信息泄露缺陷。
 这可能引起远程攻击者获取预计通过加密保护的定时信息。
 (CVE-2014-0453)

-“com.sun.jndi.dns.DnsClient”存在与查询 ID 的随机化相关的缺陷。这可允许远程攻击者执行欺骗攻击。
 (CVE-2014-0460)

- Full 和 Liberty 配置文件中存在缺陷。远程攻击者可使用特别构建的请求获取任意文件的访问权限。（CVE-2014-0823、PI05324）

- 管理控制台中存在信息泄露缺陷。这可允许网络攻击者使用特别构建的请求获取特权访问权限。（CVE-2014-0857、PI07808）

- 服务器上配置为重试失败的 POST 请求的 Web 服务器插件中存在一个拒绝服务缺陷。这可能引起远程攻击者使应用程序崩溃。
 （CVE-2014-0859、PI08892）

- 代理服务器和 ODR 服务器内存在一个信息泄露缺陷。这可能引起远程攻击者使用特别构建的请求访问潜在敏感信息。（CVE-2014-0891、PI09786）

- 具有反向代理组件的 Web 型 IBM 安全访问管理器中存在一个拒绝服务缺陷。
 这可能引起远程攻击者使用特别构建的 TLS 流量，导致系统上的应用程序处于无响应状态。（CVE-2014-0963、PI17025）

- 处理 SOAP 响应时存在一个信息泄露缺陷。这可能导致远程攻击者访问潜在敏感信息。
 （CVE-2014-0965、PI11434）

- 存在一个信息泄露缺陷。远程攻击者可使用特别构建的 URL 访问潜在敏感信息。
 （CVE-2014-3022、PI09594）

根据 Web 服务器的标题，远程 Web 服务器上托管的 HP System Management Homepage (SMH) 版本所实现的 OpenSSL 库受到以下漏洞的影响：

- ssl3_read_bytes() 函数中存在一个错误，允许将数据注入其他会话。请注意，仅在启用了“SSL_MODE_RELEASE_BUFFERS”后才能利用此问题。(CVE-2010-5298)

- 存在与椭圆曲线数字签名算法 (ECDSA) 的实现相关的错误，该错误允许通过“FLUSH+RELOAD”缓存边信道攻击泄露临时信息。(CVE-2014-0076)

- 存在一个与无效 DTLS 片段处理相关的缓冲区溢出条件，可导致任意代码执行。请注意，此问题仅在 OpenSSL 被用作 DTLS 客户端或服务器时存在影响。(CVE-2014-0195)

- do_ssl3_write() 函数中存在一个错误，允许取消引用空指针，从而导致拒绝服务情况。请注意，仅在启用了“SSL_MODE_RELEASE_BUFFERS”后才能利用此问题。(CVE-2014-0198)

- 存在涉及 DTLS 握手处理的错误，可能导致拒绝服务攻击。请注意此问题只当 OpenSSL 被用作 DTLS 客户端时存在影响。
 (CVE-2014-0221)

- 存在不明错误，可能导致攻击者使用弱密钥材料进行简化的中间人攻击。(CVE-2014-0224)

- 存在一个与匿名 ECDH 加密套件相关的不明错误，允许拒绝服务攻击。请注意，此问题仅影响 OpenSSL TLS 客户端。
 (CVE-2014-3470)

远程 Cisco IOS XE 设备缺少一个供应商提供的安全修补程序，且其 web 用户界面被配置为使用 HTTPS。因此，它受到捆绑的 OpenSSL 库中以下漏洞的影响：

  - ssl3_read_bytes() 函数中存在一个错误，可允许将数据注入其他会话或导致拒绝服务攻击。请注意，仅在启用了“SSL_MODE_RELEASE_BUFFERS”后才能利用此问题。
    (CVE-2010-5298)

  - 存在与椭圆曲线数字签名算法 (ECDSA) 实现相关的错误，可通过“FLUSH+RELOAD”缓存边信道攻击导致泄露临时信息。(CVE-2014-0076)

  - do_ssl3_write() 函数中存在一个错误，可允许取消引用空指针，从而导致拒绝服务攻击。请注意，仅在启用了“SSL_MODE_RELEASE_BUFFERS”后才能利用此问题。(CVE-2014-0198)

  - 存在不明错误，攻击者可利用此错误，使用弱密钥材料进行简化的中间人攻击。(CVE-2014-0224)

在远程主机上运行的 IBM HTTP Server 版本受到漏洞的影响。OpenSSL 到 1.0.0l 版本中的 Montgomery 阶梯实现无法确保某些交换操作具有常量时间行为，这可使本地用户更容易通过 FLUSH+RELOAD 缓存边信道攻击获取 ECDSA 临时信息。

请注意，Nessus 尚未测试此问题，而是只依赖于应用程序自我报告的版本号。

OpenSSL 已更新，修复了 ECDSA 临时信息中的攻击。

使用 FLUSH+RELOAD 缓存边信道攻击，可能恢复临时信息。(CVE-2014-0076)

更新还为在目前的 SSL 证书基础架构中使用的 X.509 证书启用了 SHA-2 系列证书验证。

请注意，Tenable Network Security 已直接从 SUSE 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

远程主机上安装的 OpenSSL 版本低于 1.0.1g。因此，它受到公告 1.0.1g 中提及的多个漏洞影响。

  - 1.0.1g 之前的 OpenSSL 1.0.1 中的 (1) TLS 和 (2) DTLS 实现无法正确处理 Heartbeat Extension 数据包，这允许远程攻击者通过构建可触发缓冲区读取越界的数据包从进程内存中获取敏感信息，这一点已由读取私有密钥证实，此问题与 d1_both.c 和 t1_lib.c 有关，也称为 Heartbleed 缺陷。(CVE-2014-0160)

  - OpenSSL 1.0.0l 及之前版本中的 Montgomery ladder 实现不能确保某些交换操作具有固定时间行为，这更容易使本地用户通过 FLUSH+RELOAD 缓存边信道攻击获取 ECDSA 临时信息。(CVE-2014-0076)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

a. OpenSSL 第三方库中的信息泄露漏洞

OpenSSL 库已更新到版本 openssl-1.0.1g，解决了多种安全问题。
 通用漏洞和暴露计划 (cve.mitre.org) 已为这些问题分配了名称 CVE-2014-0076 和 CVE-2014-0160。

CVE-2014-0160 称为 Heartbleed 问题。参考部分中可能有关于此问题的更多信息。

要修复有已更新版本或修补程序的产品的问题，请执行以下步骤：

* 部署 VMware 产品更新或产品修补程序
 * 按照产品特定的文档替换证书
 * 按照产品特定的文档重置密码

第 4 部分列出了产品特定的安装说明和证书管理文档参考。

远程主机上安装的 IBM 通用并行文件系统 (GPFS) 的版本低于 3.5.0.17。因此，它受到多种 OpenSSL 相关漏洞的影响：

- 由于 OpenSSL 库中存在一个由 ECDSA（椭圆曲线数字签名算法）中的实现错误导致的缺陷，存在一个信息泄露漏洞。攻击者可能利用此漏洞恢复 ECDSA 临时信息。(CVE-2014-0076)

- 由于 OpenSSL 库中存在一个缺陷（常称为 Heartbleed 缺陷），存在一个信息泄露漏洞。攻击者可能不断利用此漏洞来读取设备中多达 64KB 的内存。(CVE-2014-0160)

远程主机似乎正在运行 Ipswitch IMail Server 11.x 或低于版本 12.4.1.15 的 12.x，因此可能受到以下漏洞的影响：

- 存在与椭圆曲线数字签名算法 (ECDSA) 实现相关的错误，可通过“FLUSH+RELOAD”缓存边信道攻击导致泄露临时信息。(CVE-2014-0076)

- 存在与处理 TLS 心跳信息扩展相关的越界读取错误，也称为“Heartbleed 缺陷”，可允许攻击者获取敏感信息，例如主密钥资料、次密钥资料和其他受保护的内容。
 (CVE-2014-0160)

- 存在与“WebClient”组件有关的多种输入验证错误，可允许跨站脚本攻击。(CVE-2014-3878)

远程 Cisco 设备正在运行受捆绑 OpenSSL 库中的多种漏洞影响的 NX-OS 软件：

-“ssl3_read_bytes”函数中存在错误，可能造成数据注入其他会话或导致拒绝服务攻击。请注意，仅在启用了“SSL_MODE_RELEASE_BUFFERS”后才能利用此问题。(CVE-2010-5298)

- 存在与椭圆曲线数字签名算法 (ECDSA) 实现相关的错误，可通过“FLUSH+RELOAD”缓存边信道攻击导致泄露临时信息。(CVE-2014-0076)

- 存在涉及无效的 DTLS 碎片处理的缓冲区溢出错误，可能导致执行任意代码。请注意，此问题仅在 OpenSSL 被用作 DTLS 客户端或服务器时存在影响。(CVE-2014-0195)

-“do_ssl3_write”函数中存在错误，可能会造成取消引用空指针，从而导致拒绝服务攻击。请注意，仅在启用了“SSL_MODE_RELEASE_BUFFERS”后才能利用此问题。(CVE-2014-0198)

- 存在涉及 DTLS 握手处理的错误，可能导致拒绝服务攻击。请注意，此问题仅在 OpenSSL 被用作 DTLS 客户端时存在影响。
 (CVE-2014-0221)

- 存在不明错误，可能允许攻击者使用弱密钥材料进行简化的中间人攻击。
 (CVE-2014-0224)

- 存在涉及匿名 ECDH 加密套件的不明错误，可能导致拒绝服务攻击。请注意，此问题仅影响 OpenSSL TLS 客户端。(CVE-2014-3470)

- 由于在解码 base 64 编码输入时验证不当，在 EVP_DecodeUpdate() 函数中存在整数下溢情况。这会允许远程攻击者使用恶意构建的 base64 数据引起分段错误或内存损坏，导致拒绝服务或可能执行任意代码。(CVE-2015-0292)

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
76995	IBM WebSphere Application Server 8.0 < Fix Pack 9 多种漏洞	Nessus	Web Servers	2014/8/4	2019/11/25	high
76345	HP System Management Homepage < 7.2.4.1 / 7.3.3.1 OpenSSL 多种漏洞	Nessus	Web Servers	2014/7/2	2022/4/11	medium
88989	Cisco IOS XE 多个 OpenSSL 漏洞 (CSCup22487)	Nessus	CISCO	2016/2/26	2024/5/3	medium
144766	IBM HTTP Server 8.0.x < 8.0.0.9 / 8.5.x < 8.5.5.3 (247195)	Nessus	Web Servers	2021/1/6	2022/4/11	low
83620	SUSE SLES10 安全更新：OpenSSL (SUSE-SU-2014:0539-1)	Nessus	SuSE Local Security Checks	2015/5/20	2021/1/19	medium
73404	OpenSSL 1.0.1 < 1.0.1g 多个漏洞	Nessus	Web Servers	2014/4/8	2024/10/23	high
73851	VMSA-2014-0004：VMware 产品更新解决了 OpenSSL 安全漏洞。	Nessus	VMware ESX Local Security Checks	2014/5/3	2022/5/5	high
74104	IBM 通用并行文件系统 3.5 < 3.5.0.17 多种 OpenSSL 漏洞 (Heartbleed)	Nessus	Windows	2014/5/20	2023/4/25	high
76490	Ipswitch IMail Server 11.x / 12.x < 12.4.1.15 多种漏洞 (Heartbleed)	Nessus	Misc.	2014/7/14	2023/4/25	high
88991	Cisco NX-OS OpenSSL 多种漏洞	Nessus	CISCO	2016/2/26	2019/11/19	high

检测

插件搜索

high

medium

medium

low

medium

high

high

high

high

high