根据其标题，远程 Web 服务器使用的 OpenSSL 版本低于 0.9.8w。因此，报告显示 OpenSSL 库自身受到内存损坏漏洞的影响，该漏洞是由于读取 ASN.1 DER 格式的数据时函数“asn1_d2i_read_bio”中出现整数截断错误所致。 

使用基于“BIO”或“FILE”的函数（即“d2i_*_bio”或“d2i_*_fp”函数）的应用程序会受到此问题的影响。
同样受到影响的还包括使用“SMIME_read_PKCS7”或“SMIME_read_CMS”解析器的“S/MIME”或“CMS”应用程序。OpenSSL 命令行实用工具在用于处理不受信任的 DER 格式数据时会受到影响。

请注意，OpenSSL 的 SSL/TLS 代码不受影响。不受影响的还包括使用基于内存的 ASN.1 函数（如“d2i_X509”、“d2i_PKCS12”等）的应用程序，以及仅使用 PEM 函数的应用程序。

另请注意，对 0.9.8v 中的 CVE-2012-2110 的初始修复是不完整的，因为文件“openssl/crypto/buffer/buffer.c”中函数“BUF_MEM_grow”和“BUF_MEM_grow_clean”并未正确计算参数“len”的负值。

已发现针对 CVE-2012-2110 的 OpenSSL 0.9.8 补丁不完整。远程攻击者可在使用 SSL 的服务中触发此缺陷，从而造成拒绝服务或者可能以应用程序权限执行任意代码。Ubuntu 11.10 不受此问题的影响。(CVE-2012-2131)

针对 CVE-2012-2110 的原始上游补丁将导致 BUF_MEM_grow_clean() 偶尔返回不正确的错误情况。
此更新修复了该问题。

此 compat-openssl097g 汇总更新包含有多个安全补丁：

- 在缓冲区管理操作期间，OpenSSL 中不正确的整数转换可能导致内存损坏。(CVE-2012-2131/ CVE-2012-2110)

远程主机上运行的 OpenSSL 版本受到以下漏洞的影响：

- OpenSSL 中的加密消息语法 (CMS) 和 PKCS #7 的实现不会正确限制某些 oracle 行为，这样使上下文有关的攻击者更容易通过百万消息攻击 (MMA) 自适应选择加密文本攻击来解密数据。(CVE-2012-0884)

- OpenSSL 中 crypto/asn1/asn_mime.c 的 mime_param_cmp 函数允许远程攻击者通过构建的 S/MIME 消息来造成拒绝服务（空指针取消引用和应用程序崩溃），此漏洞与 CVE-2006-7250 不同。(CVE-2012-1165)

- OpenSSL 中 crypto/asn1/a_d2i_fp.c 的 asn1_d2i_read_bio 函数不会正确解释整数数据，从而允许远程攻击者通过构建的 DER 数据来进行缓冲区溢出攻击并造成拒绝服务（内存损坏）或者可能造成其他不明影响，这一点已由 X.509 证书或 RSA 公钥证实。(CVE-2012-2110)

- OpenSSL 中 crypto/buffer/buffer.c 中的多种整数符号错误允许远程攻击者通过构建的 DER 数据来进行缓冲区溢出攻击并造成拒绝服务（内存损坏）或者可能造成其他不明影响，这一点已由 X.509 证书或 RSA 公钥证实。注意：存在此漏洞的原因是对 CVE-2012-2110 的修复不完整。(CVE-2012-2131)

- 将 TLS 1.1、TLS 1.2 或 DTLS 用于 CBC 加密时，OpenSSL 中的整数下溢允许远程攻击者通过构建的在某个明确 IV 计算期间未得到正确处理的 TLS 数据包来造成拒绝服务（缓冲区读取越界）或者可能造成其他不明影响。(CVE-2012-2333)

根据其自我报告的版本号，远程 Junos 路由器正在使用过期版本的 OpenSSL。解析畸形 ASN.1 编码数据可导致内存损坏。可通过尝试解析不受信任的数据（如 X.509 证书）来触发此漏洞。

远程主机正在运行低于 10.8.4 的 Mac OS X 10.8.x 版本。更新的版本包含针对以下组件的与安全有关的多个补丁：

- CFNetwork
 - CoreAnimation
 - CoreMedia Playback
 - CUPS
 - Disk Management
 - OpenSSL
 - QuickDraw Manager
 - QuickTime
 - SMB

根据其自我报告的版本，远程主机上运行的 IVE / UAC OS 版本可能受到多种漏洞的影响：

- 远程攻击者可能可以通过发送特别构建的 DER 数据来触发 OpenSSL 库上的缓冲区溢出漏洞，从而导致内存损坏。(CVE-2012-2131)

- OpenSSL 库中的一个漏洞使其容易遭受攻击，该攻击可允许第三方从加密的流量中（完全或部分）恢复明文。(CVE-2013-0169)

- OpenSSL 库中 OCSP 签名验证中的一个缺陷允许远程 OCSP 服务器通过无效密钥造成拒绝服务情况。(CVE-2013-0166)

已发现针对 CVE-2012-2110 (MDVSA-2012:060) 的补丁不足以修正 OpenSSL 0.9.8 的问题。

更新后的程序包已升级到 0.9.8w 版，此版本不易受到该问题的影响。

已在 OpenSSL 中发现多种漏洞。通用漏洞和暴露计划识别以下问题：

- CVE-2012-0884 Ivan Nestlerode 在 CMS 和 PKCS #7 实现中发现一个漏洞，可允许攻击者通过百万消息攻击 (MMA) 来解密数据。

- CVE-2012-1165 发现解析某些 S/MIME 消息时可取消引用空指针，从而导致拒绝服务。

- CVE-2012-2110 Google 安全团队的 Tavis Ormandy 在解析 DER 编码的 ASN.1 数据的方式中发现一个漏洞，可导致堆溢出。

此外，针对 CVE-2011-4619 的补丁已更新，解决了与 SGC 握手有关的一个问题。

Red Hat 的 Tomas Hoger 发现针对 OpenSSL 的 0.9.8 系列的 CVE-2012-2110 的补丁不完整。已为此问题分配 CVE-2012-2131 标识符。

openssl 的此更新修复了可造成基于堆的内存损坏的整数对话问题。(CVE-2012-2110)

此外，添加了对负缓冲区长度值的检查 (CVE-2012-2131) 并修复了创建公钥时的一个内存泄漏。

openssl 的此更新修复了可造成基于堆的内存损坏的整数对话问题。(CVE-2012-2110)

此外，添加了对负缓冲区长度值的检查 (CVE-2012-2131)，并通过将增强的 Intel SSSE3 组装器代码标记为不需要可执行堆栈，使堆栈不可执行。

远程 Solaris 系统缺少用于处理安全更新的必要修补程序：

- 在低于 0.9.8v 的 OpenSSL，低于 1.0.0i 的 OpenSSL 1.0.0，以及低于 1.0.1a 的 OpenSSL 1.0.1 中，crypto/asn1/a_d2i_fp.c 中的 asn1_d2i_read_bio 函数未正确解释整数数据，这允许远程攻击者发动缓冲区溢出攻击，以及通过构建的 DER 数据造成拒绝服务（内存损坏），或者可能造成其他不明影响，这一点已由 X.509 证书或 RSA 公钥证实。(CVE-2012-2110)

- OpenSSL 0.9.8v 之内的 crypto/buffer/buffer.c 中存在多种整数符号错误，这允许远程攻击者发动缓冲区溢出攻击，以及通过构建的 DER 数据造成拒绝服务（内存损坏），或者可能造成其他不明影响，这一点已由 X.509 证书或 RSA 公钥证实。注意：存在此漏洞的原因是对 CVE-2012-2110 的修复不完整。(CVE-2012-2131)

远程主机正在运行的 Mac OS X 10.6 或 10.7 版本未应用安全更新 2013-002。此更新包含针对以下组件的大量安全相关补丁：

- CoreMedia Playback（仅 10.7）
 - Directory Service（仅 10.6）
 - OpenSSL
 - QuickDraw Manager
 - QuickTime
 - Ruby（仅 10.6）
 - SMB（仅 10.7）

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
58799	OpenSSL < 0.9.8w ASN.1 asn1_d2i_read_bio 内存损坏	Nessus	Web Servers	2012/4/24	2023/8/22	high
58873	Ubuntu 8.04 LTS / 10.04 LTS / 11.04 / 11.10：openssl 漏洞 (USN-1428-1)	Nessus	Ubuntu Local Security Checks	2012/4/25	2019/9/19	high
64120	SuSE 11.2 安全更新：compat-openssl097g（SAT 修补程序编号 6749）	Nessus	SuSE Local Security Checks	2013/1/25	2021/1/19	high
73562	AIX OpenSSL 公告：openssl_advisory4.asc	Nessus	AIX Local Security Checks	2014/4/16	2023/4/21	high
59989	Juniper Junos OpenSSL ASN.1 内存损坏 (PSN-2012-07-645)	Nessus	Junos Local Security Checks	2012/7/17	2018/7/12	high
62060	SuSE 10 安全更新：compat-openssl097g（ZYPP 修补程序编号 8262）	Nessus	SuSE Local Security Checks	2012/9/12	2021/1/19	high
66808	Mac OS X 10.8.x < 10.8.4 多种漏洞	Nessus	MacOS X Local Security Checks	2013/6/5	2024/5/28	high
69987	Junos Pulse Secure IVE / UAC OS 多种 SSL 漏洞	Nessus	Misc.	2013/9/19	2022/12/5	high
58865	Mandriva Linux 安全公告：openssl0.9.8 （MDVSA-2012:064）	Nessus	Mandriva Local Security Checks	2012/4/25	2021/1/6	high
58804	Debian DSA-2454-2：openssl - 多种漏洞	Nessus	Debian Local Security Checks	2012/4/20	2021/1/11	high
59237	SuSE 10 安全更新：openssl（ZYPP 修补程序编号 8112）	Nessus	SuSE Local Security Checks	2012/5/23	2021/1/19	high
64184	SuSE 11.1 安全更新：openssl（SAT 修补程序编号 6245）	Nessus	SuSE Local Security Checks	2013/1/25	2021/1/19	high
80717	Oracle Solaris 第三方修补程序更新：openssl (multiple_vulnerabilities_in_openssl1)	Nessus	Solaris Local Security Checks	2015/1/19	2021/1/14	high
66809	Mac OS X 多种漏洞（安全更新 2013-002）	Nessus	MacOS X Local Security Checks	2013/6/5	2024/5/28	critical

检测

插件搜索

high

high

high

high

high

high

high

high

high

high

high

high

high

critical