来自 Red Hat 安全公告 2010:0978：

更新后的 openssl 程序包修复了两个安全问题，现在可用于 Red Hat Enterprise Linux 5。

Red Hat 安全响应团队已将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

OpenSSL 是用于实现安全套接字层 (SSL v2/v3) 和传输层安全 (TLS v1) 协议以及强大的通用密码库的工具包。

已在 OpenSSL SSL/TLS 服务器代码中发现加密套件降级缺陷。如果服务器启用了 SSL_OP_NETSCAPE_REUSE_CIPHER_CHANGE_BUG 选项，远程攻击者可以利用此缺陷更改与服务器上存储的缓存会话相关联的加密套件，从而强制客户端在恢复会话之后使用较弱的加密套件。（CVE-2010-4180、CVE-2008-7270）

注意：通过此更新，设置 SSL_OP_NETSCAPE_REUSE_CIPHER_CHANGE_BUG 选项不受影响，并且此缺陷变通方案将无法再启用。

所有 OpenSSL 用户都应升级这些更新后的程序包，其中包含用于解决这些问题的向后移植的修补程序。为使更新生效，必须重新启动所有链接到 OpenSSL 库的服务，或重新启动系统。

远程 HP ProCurve 交换机缺少用于修正一个问题的软件更新，该问题表现为攻击者可远程导致未经授权的信息泄露。

更新后的 openssl 程序包修复了三个安全问题，现在可用于 Red Hat Enterprise Linux 4。

Red Hat 安全响应团队已将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

OpenSSL 是用于实现安全套接字层 (SSL v2/v3) 和传输层安全 (TLS v1) 协议以及强大的通用密码库的工具包。

已在 OpenSSL SSL/TLS 服务器代码中发现加密套件降级缺陷。如果服务器启用了 SSL_OP_NETSCAPE_REUSE_CIPHER_CHANGE_BUG 选项，远程攻击者可能利用此缺陷更改与服务器上存储的缓存会话相关联的加密套件，从而强制客户端在恢复会话之后使用较弱的加密套件。（CVE-2010-4180、CVE-2008-7270）

注意：通过此更新，设置 SSL_OP_NETSCAPE_REUSE_CIPHER_CHANGE_BUG 选项不受影响，并且此缺陷变通方案将无法再启用。

已发现 OpenSSL 未始终检查 bn_wexpand() 函数的返回值。可以在该函数中触发内存分配错误的攻击者可能导致使用 OpenSSL 库及其 UBSEC 硬件引擎支持的应用程序崩溃。(CVE-2009-3245)

所有 OpenSSL 用户应升级这些更新后的程序包，其中包含用于解决这些问题的向后移植的修补程序。为使更新生效，必须重新启动所有链接到 OpenSSL 库的服务，或重新启动系统。

来自 Red Hat 安全公告 2010:0977：

更新后的 openssl 程序包修复了三个安全问题，现在可用于 Red Hat Enterprise Linux 4。

Red Hat 安全响应团队已将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

OpenSSL 是用于实现安全套接字层 (SSL v2/v3) 和传输层安全 (TLS v1) 协议以及强大的通用密码库的工具包。

已在 OpenSSL SSL/TLS 服务器代码中发现加密套件降级缺陷。如果服务器启用了 SSL_OP_NETSCAPE_REUSE_CIPHER_CHANGE_BUG 选项，远程攻击者可以利用此缺陷更改与服务器上存储的缓存会话相关联的加密套件，从而强制客户端在恢复会话之后使用较弱的加密套件。（CVE-2010-4180、CVE-2008-7270）

注意：通过此更新，设置 SSL_OP_NETSCAPE_REUSE_CIPHER_CHANGE_BUG 选项不受影响，并且此缺陷变通方案将无法再启用。

已发现 OpenSSL 未始终检查 bn_wexpand() 函数的返回值。可以在该函数中触发内存分配错误的攻击者可以导致使用 OpenSSL 库及其 UBSEC 硬件引擎支持的应用程序崩溃。(CVE-2009-3245)

所有 OpenSSL 用户应升级这些更新后的程序包，其中包含用于解决这些问题的向后移植的修补程序。为使更新生效，必须重新启动所有链接到 OpenSSL 库的服务，或重新启动系统。

已在 OpenSSL SSL/TLS 服务器代码中发现加密套件降级缺陷。如果服务器启用了 SSL_OP_NETSCAPE_REUSE_CIPHER_CHANGE_BUG 选项，远程攻击者可以利用此缺陷更改与服务器上存储的缓存会话相关联的加密套件，从而强制客户端在恢复会话之后使用较弱的加密套件。（CVE-2010-4180、CVE-2008-7270）

注意：通过此更新，设置 SSL_OP_NETSCAPE_REUSE_CIPHER_CHANGE_BUG 选项不受影响，并且此缺陷变通方案将无法再启用。

已发现 OpenSSL 未始终检查 bn_wexpand() 函数的返回值。可以在该函数中触发内存分配错误的攻击者可以导致使用 OpenSSL 库及其 UBSEC 硬件引擎支持的应用程序崩溃。（CVE-2009-3245 - 仅 SL4）

为使更新生效，必须重新启动所有链接到 OpenSSL 库的服务，或重新启动系统。

a. 适用于服务控制台 openssl RPM 的 ESX 第三方更新

服务控制台 openssl RPM 已更新到 openssl-0.9.8e.12.el5_5.7，解决了两个安全问题。

通用漏洞和暴露计划 (cve.mitre.org) 已为这些问题分配了名称 CVE-2008-7270 和 CVE-2010-4180。
 b. 适用于服务控制台 libuser RPM 的 ESX 第三方更新 服务控制台 libuser RPM 已更新到版本 0.54.7-2.1.el5_5.2，解决了一个安全问题。
 通用漏洞和暴露计划 (cve.mitre.org) 已为此问题分配了名称 CVE-2011-0002。
 c. 适用于服务控制台 nss 和 nspr RPM 的 ESX 第三方更新 服务控制台 Network Security Services (NSS) 和 Netscape Portable Runtime (NSPR) 库已更新到 nspr-4.8.6-1 及 nss-3.12.8-4，解决了多个安全问题。
 通用漏洞和暴露计划 (cve.mitre.org) 已为这些问题分配了名称 CVE-2010-3170 和 CVE-2010-3173。
 d. vCenter Server 和 ESX、Oracle (Sun) JRE 更新 1.6.0_24

Oracle (Sun) JRE 已更新到版本 1.6.0_24，解决了较早的 Oracle (Sun) JRE 版本中存在的多种安全问题。
 通用漏洞和暴露计划 (cve.mitre.org) 已将下列名称分配给 JRE 1.6.0_24 中修正的安全问题：CVE-2010-4422、CVE-2010-4447、CVE-2010-4448、CVE-2010-4450、CVE-2010-4451、CVE-2010-4452、CVE-2010-4454、CVE-2010-4462、CVE-2010-4463、CVE-2010-4465、CVE-2010-4466、CVE-2010-4467、CVE-2010-4468、CVE-2010-4469、CVE-2010-4470、CVE-2010-4471、CVE-2010-4472、CVE-2010-4473、CVE-2010-4474、CVE-2010-4475 和 CVE-2010-4476。
 通用漏洞和暴露计划 (cve.mitre.org) 已将下列名称分配给 JRE 1.6.0_22 中修正的安全问题：CVE-2010-1321、CVE-2010-3541、CVE-2010-3548、CVE-2010-3549、CVE-2010-3550、CVE-2010-3551、CVE-2010-3552、CVE-2010-3553、CVE-2010-3554、CVE-2010-3555、CVE-2010-3556、CVE-2010-3557、CVE-2010-3558、CVE-2010-3559、CVE-2010-3560、CVE-2010-3561、CVE-2010-3562、CVE-2010-3563、CVE-2010-3565、CVE-2010-3566、CVE-2010-3567、CVE-2010-3568、CVE-2010-3569、CVE-2010-3570、CVE-2010-3571、CVE-2010-3572、CVE-2010-3573 和 CVE-2010-3574。
 e. vCenter Update Manager，Oracle (Sun) JRE 更新 1.5.0_30

Oracle (Sun) JRE 更新到 1.5.0_30 版，其解决了较早的 Oracle (Sun) JRE 版本中存在的多个安全问题。

通用漏洞和暴露计划 (cve.mitre.org) 已将下列名称分配给 Oracle (Sun) JRE 1.5.0_30 中修正的安全问题：CVE-2011-0862、CVE-2011-0873、CVE-2011-0815、CVE-2011-0864、CVE-2011-0802、CVE-2011-0814、CVE-2011-0871、CVE-2011-0867 和 CVE-2011-0865。

通用漏洞和暴露计划 (cve.mitre.org) 已将下列名称分配给 Oracle (Sun) JRE 1.5.0_28 中修正的安全问题：CVE-2010-4447、CVE-2010-4448、CVE-2010-4450、CVE-2010-4454、CVE-2010-4462、CVE-2010-4465、CVE-2010-4466、CVE-2010-4468、CVE-2010-4469、CVE-2010-4473、CVE-2010-4475、CVE-2010-4476。

f. VMware 第三方组件 sfcb 中的整数溢出

此版本可解决将 /etc/sfcb/sfcb.cfg 中的 httpMaxContentLength 从默认值变更为 0 时，第三方库 SFCB 中存在的一个整数溢出问题。
 此整数溢出可允许远程攻击者通过 Content-Length HTTP 标头中的大整数，造成拒绝服务（堆内存损坏）或可能执行任意代码。
 通用漏洞和暴露计划 (cve.mitre.org) 已为此问题分配名称 CVE-2010-2054。

远程iraclelinux 3 主机上存在安装的程序包该程序包受到 AXSA:2010-510:02 公告中提及的多个漏洞的影响。

    OpenSSL 工具包支持计算机之间的安全通信。OpenSSL 中包含证书管理工具和共享库，用于提供各种加密算法和协议。
    此版本修复的安全问题
    CVE-2008-7270 当启用了 SSL_OP_NETSCAPE_REUSE_CIPHER_CHANGE_BUG 时0.9.8j 之前版本的 OpenSSL 不会防止修改会话缓存中的加密套件这允许远程攻击者通过涉及嗅探网络流量的矢量强制使用禁用的密码以发现会话标识符、与 不同的漏洞 CVE-2010-4180。
    CVE-2010-4180 当启用 SSL_OP_NETSCAPE_REUSE_CIPHER_CHANGE_BUG 时低于 0.9.8q 的 OpenSSL 以及低于 1.0.0c 的 1.0.x 未正确阻止修改会话缓存中的加密套件这可允许远程攻击者通过涉及嗅探的矢量强制降级到非预期的密码以发现会话标识符的网络流量。

Tenable 已直接从MiracleLinux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 VMware ESX / ESXi 主机缺少一个与安全有关的修补程序。
因此，它受到多个第三方组件和库中的多种漏洞影响，包括远程代码执行漏洞：

- Java Runtime Environment (JRE)
 - libuser
 - Netscape Portable Runtime (NSPR) 
 - Network Security Services (NSS)
 - OpenSSL

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 启用 SSL_OP_NETSCAPE_REUSE_CIPHER_CHANGE_BUG 时，0.9.8j 之前的 OpenSSL 不会阻止修改会话缓存中的加密套件，这允许远程攻击者通过涉及嗅探网络流量以发现会话标识符的矢量强制使用已禁用的密码高于 CVE-2010-4180的漏洞。 (CVE-2008-7270)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

已确认远程主机上的 OpenSSL 版本允许在恢复会话时使用已禁用的密码。这意味着能够获知（也就是使用嗅探）SSL 连接的启动的攻击者可以操纵 OpenSSL 会话缓存，导致在恢复该会话之后，它会使用攻击者选择的已禁用的密码。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
68164	Oracle Linux 5：openssl (ELSA-2010-0978)	Nessus	Oracle Linux Local Security Checks	2013/7/12	2024/11/1	high
69346	HP ProCurve 交换机远程未经授权的信息泄露	Nessus	Misc.	2013/8/14	2018/7/12	medium
51781	CentOS 4：openssl (CESA-2010:0977)	Nessus	CentOS Local Security Checks	2011/1/28	2021/1/4	critical
68163	Oracle Linux 4：openssl (ELSA-2010-0977)	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	critical
60921	Scientific Linux 安全更新：SL4.x、SL5.x i386/x86_64 中的 openssl	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	critical
56665	VMSA-2011-0013：适用于 VMware vCenter Server、vCenter Update Manager、ESXi 和 ESX 的 VMware 第三方组件更新	Nessus	VMware ESX Local Security Checks	2011/10/28	2021/1/6	critical
284355	MagicLinux 3openssl-0.9.8e-12.AXS3.7 (AXSA:2010-510:02)	Nessus	Miracle Linux Local Security Checks	2026/1/14	2026/1/14	high
89681	VMware ESX / ESXi 第三方库多个漏洞 (VMSA-2011-0013)（远程检查）	Nessus	Misc.	2016/3/4	2021/1/6	critical
217079	Linux Distros 未修补的漏洞: CVE-2008-7270	Nessus	Misc.	2025/3/3	2026/1/28	critical
51893	OpenSSL SSL_OP_NETSCAPE_REUSE_CIPHER_CHANGE_BUG 加密套件已禁用密码问题	Nessus	General	2011/2/7	2022/4/11	medium

检测

插件搜索

high

medium

critical

critical

critical

critical

high

critical

critical

medium