为 Slackware 12.1、12.2、13.0、13.1、13.37、14.0 和当前版本提供了用于修复安全问题的新 openssl 程序包。

根据其标题，远程 Web 服务器运行的 OpenSSL 1.0.1 版本低于 1.0.1d。因此，据报告 OpenSSL 库可能受以下漏洞的影响：

  - 存在一个与 AES-NI、TLS 1.1、TLS 1.2 以及 CBC 加密套件处理有关的错误，可允许拒绝服务攻击。请注意，不支持 AES-NI、TLS 1.1 或 TLS 1.2 的平台和版本不受影响。(CVE-2012-2686)

  - 存在与 OCSP 响应验证的处理有关的错误，可导致拒绝服务攻击。
    (CVE-2013-0166)

  - 存在与 SSL/TLS/DTLS 协议、CBC 模式加密和响应时间有关的错误。攻击者可通过时序攻击获取加密流量的明文内容。(CVE-2013-0169)

Adam Langley 和 Wolfgang Ettlingers 发现 OpenSSL 在与 AES-NI 一起使用时未正确处理某些构建的 CBC 数据。远程攻击者可使用此问题造成 OpenSSL 崩溃，从而导致拒绝服务。此问题仅影响 Ubuntu 12.04 LTS 和 Ubuntu 12.10。(CVE-2012-2686)

Stephen Henson 发现 OpenSSL 错误地执行 OCSP 响应的签名验证。远程攻击者可使用此问题造成 OpenSSL 崩溃，从而导致拒绝服务。
(CVE-2013-0166)

Nadhem Alfardan 和 Kenny Paterson 发现，在 OpenSSL 中使用的 TLS 协议容易遭受时序边信道攻击，称为“Lucky Thirteen”问题。远程攻击者可利用此问题，通过定时数据分析执行明文恢复攻击。
(CVE-2013-0169)。

USN-1732-1 修复了 OpenSSL 中的漏洞。针对 CVE-2013-0166 和 CVE-2012-2686 的补丁引入了一项回归，导致支持 AES-NI 的硬件上发生解密失败。此更新临时恢复该安全补丁以待进一步观察。我们对不便之处表示抱歉。

Adam Langley 和 Wolfgang Ettlingers 发现 OpenSSL 在与 AES-NI 一起使用时未正确处理某些构建的 CBC 数据。远程攻击者可使用此问题造成 OpenSSL 崩溃，从而导致拒绝服务。此问题仅影响 Ubuntu 12.04 LTS 和 Ubuntu 12.10。(CVE-2012-2686)

Nadhem Alfardan 和 Kenny Paterson 发现，在 OpenSSL 中使用的 TLS 协议容易遭受时序边信道攻击，称为“Lucky Thirteen”问题。远程攻击者可利用此问题，通过定时数据分析执行明文恢复攻击。
(CVE-2013-0169)。

openssl 已更新到 1.0.0k 安全版本，修复了各种缺陷和安全问题。(bnc#802648 bnc#802746) 已升级版本，避免向后移植针对 SSL、TLS 和 DTLS 明文恢复攻击 (CVE-2013-0169)、TLS 1.1 和 1.2 AES-NI 崩溃 (CVE-2012-2686)、OCSP 无效密钥 DoS 问题 (CVE-2013-0166) 的较大补丁。

还包含以下缺陷补丁：bnc#757773 - c_rehash 以接受更多文件名扩展

OpenSSL 安全团队报告：

可在 DoS 攻击中利用 AES-NI 支持平台上 TLS 1.1 和 TLS 1.2 中的 CBC 模式加密套件的 OpenSSL 处理中的一个缺陷。

可在拒绝服务攻击中利用 OCSP 响应验证的 OpenSSL 处理中的一个缺陷。

远程主机正在运行的 IBM Tivoli Endpoint Manager Server 版本低于 8.2.1372。因此，它受到多种漏洞的影响：

- 存在多种与 SSL 相关的拒绝服务漏洞。（CVE-2012-2686、CVE-2013-0166）

- SSL 边信道时序分析攻击允许通过第三方监听器进行完全或部分明文恢复。
 (CVE-2013-0169)

- 可通过特别构建的 AMF 消息利用的使用分析应用程序中存在一个跨站请求伪造漏洞。(CVE-2013-0452)

- IBM Tivoli Endpoint Manager Web Reports 中存在一个不明跨站脚本漏洞。
 (CVE-2013-0453)

远程主机正在运行的 Mac OS X 10.6 或 10.7 版本未应用安全更新 2013-004。此更新包含针对以下组件的安全相关补丁：

- Apache
 - Bind
 - Certificate Trust Policy
 - ClamAV
 - Installer
 - IPSec
 - Mobile Device Management
 - OpenSSL
 - PHP
 - PostgreSQL
 - QuickTime
 - sudo

请注意，如果成功利用最严重的问题则可能导致执行任意代码。

USN-1732-1 修复了 OpenSSL 中的漏洞。针对 CVE-2013-0169 和 CVE-2012-2686 的补丁由于回归而在 USN-1732-2 中被恢复。
此更新还原了该安全补丁并包含一个来自上游的额外补丁以解决 AES-NI 回归。我们对不便之处表示抱歉。

Adam Langley 和 Wolfgang Ettlingers 发现 OpenSSL 在与 AES-NI 一起使用时未正确处理某些构建的 CBC 数据。远程攻击者可使用此问题造成 OpenSSL 崩溃，从而导致拒绝服务。此问题仅影响 Ubuntu 12.04 LTS 和 Ubuntu 12.10。(CVE-2012-2686)

Nadhem Alfardan 和 Kenny Paterson 发现，在 OpenSSL 中使用的 TLS 协议容易遭受时序边信道攻击，称为“Lucky Thirteen”问题。远程攻击者可利用此问题，通过定时数据分析执行明文恢复攻击。
(CVE-2013-0169)。

openssl 已更新到 1.0.1e，修复了缺陷和安全问题：

o 通过使用正确的 TLS 版本修复 TLS 1.1、1.2 中的重新协商。o 包含 fips 配置模块。o 修复 OCSP 错误密钥 DoS 攻击 CVE-2013-0166 bnc#802746。o 针对 SSL/TLS/DTLS CBC 明文恢复攻击的补丁 CVE-2013-0169 bnc#802184。o 针对 TLS AESNI 记录处理缺陷的补丁 CVE-2012-2686

还修复了以下缺陷：bnc#757773 - c_rehash 接受更多文件名扩展

远程主机受到 GLSA-201312-03 中所述漏洞的影响（OpenSSL：多种漏洞）

在 OpenSSL 中发现多种漏洞。请检查下面引用的 CVE 标识符以了解详细信息。
 影响：

远程攻击者可确定私钥、解密数据、造成拒绝服务，还可能造成其他不明影响。
 变通方案：

目前无任何已知的变通方案。

更新后的 rhevm-spice-client 程序包修复了多个安全问题，现在可用于 Red Hat Enterprise Virtualization Manager 3。

Red Hat 安全响应团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Red Hat Enterprise Virtualization Manager 提供对使用 SPICE 的虚拟机的访问权限。这些 SPICE 客户端程序包为 Windows 32 位操作系统和 Windows 64 位操作系统提供 SPICE 客户端和 usbclerk 服务。

rhevm-spice-client 程序包中包含 mingw-virt-viewer Windows SPICE 客户端。OpenSSL（一个包含 TLS 实现的通用密码库）捆绑于 mingw-virt-viewer。mingw-virt-viewer 程序包已更新，修正了以下问题：

在 OpenSSL 处理 TLS 和 DTLS Heartbeat Extension 数据包的方式中发现信息泄露缺陷。恶意 TLS 或 DTLS 客户端或服务器可发送特别构建的 TLS 或 DTLS 心跳信息数据包，使每个请求从连接的客户端或服务器泄露有限部分的内存。请注意，泄露的内存部分可能包含敏感信息，例如私钥。
(CVE-2014-0160)

已发现使用 CBC 模式加密套件时，OpenSSL 在解密 TLS/SSL 和 DTLS 协议加密的记录时泄漏了定时信息。远程攻击者可能利用此缺陷，通过将 TLS/SSL 或 DTLS 服务器用作 padding oracle，从加密的数据包检索纯文本。(CVE-2013-0169)

在 OpenSSL 处理 TLS/SSL 协议握手数据包的方式中发现空指针取消引用缺陷。特别构建的握手数据包可导致使用 OpenSSL 的 TLS/SSL 客户端崩溃。
(CVE-2013-4353)

已发现使用可选压缩时，TLS/SSL 协议可泄漏明文的相关信息。若攻击者能够控制通过加密的 TLS/SSL 连接发送的部分明文，就有可能利用此缺陷恢复明文的其他部分。(CVE-2012-4929)

Red Hat 在此感谢 OpenSSL 项目报告 CVE-2014-0160。上游感谢原始报告者：Google Security 的 Neel Mehta。

更新后的 mingw-virt-viewer Windows SPICE 客户端还包含对 mingw-virt-viewer 本身没有安全影响的 OpenSSL 安全补丁。可使用此更新中包含的安全补丁处理以下 CVE 编号：

CVE-2013-6449、CVE-2013-6450、CVE-2012-2686 和 CVE-2013-0166

建议所有 Red Hat Enterprise Virtualization Manager 用户升级这些更新后的程序包，其中解决了这些问题。

远程主机正在运行低于 10.8.5 的 Mac OS X 10.8.x 版本。更新的版本包含针对以下组件的与安全有关的多个补丁：

- Apache
 - Bind
 - Certificate Trust Policy
 - CoreGraphics
 - ImageIO
 - Installer
 - IPSec
 - Kernel
 - Mobile Device Management
 - OpenSSL
 - PHP
 - PostgreSQL
 - Power Management
 - QuickTime
 - Screen Lock
 - sudo

此更新还解决了某些 Unicode 字符串可能导致应用程序意外退出的问题。

请注意，如果成功利用最严重的问题则可能导致执行任意代码。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
64535	Slackware 12.1 / 12.2 / 13.0 / 13.1 / 13.37 / 14.0 / 当前版本：openssl (SSA:2013-040-01)	Nessus	Slackware Local Security Checks	2013/2/11	2022/12/5	medium
64534	OpenSSL 1.0.1 < 1.0.1d 多个漏洞	Nessus	Web Servers	2013/2/9	2023/8/21	low
64798	Ubuntu 8.04 LTS/10.04 LTS/11.10/12.04 LTS/12.10：openssl 漏洞 (USN-1732-1)	Nessus	Ubuntu Local Security Checks	2013/2/22	2022/12/5	medium
64968	Ubuntu 12.04 LTS / 12.10：openssl 回归 (USN-1732-2)	Nessus	Ubuntu Local Security Checks	2013/3/1	2022/12/5	medium
74901	openSUSE 安全更新：openssl (openSUSE-SU-2013:0336-1)	Nessus	SuSE Local Security Checks	2014/6/13	2022/12/5	high
64488	FreeBSD：OpenSSL -- TLS 1.1、1.2 拒绝服务 (00b0d8cd-7097-11e2-98d9-003067c2616f)	Nessus	FreeBSD Local Security Checks	2013/2/7	2022/12/5	medium
66270	IBM Tivoli Endpoint Manager Server < 8.2.1372 多种漏洞	Nessus	CGI abuses	2013/4/30	2022/12/5	medium
69878	Mac OS X 多种漏洞（安全更新 2013-004）	Nessus	MacOS X Local Security Checks	2013/9/13	2024/5/28	critical
65684	Ubuntu 12.04 LTS/12.10：openssl 漏洞 (USN-1732-3)	Nessus	Ubuntu Local Security Checks	2013/3/26	2022/12/5	medium
74902	openSUSE 安全更新：openssl (openSUSE-SU-2013:0337-1)	Nessus	SuSE Local Security Checks	2014/6/13	2022/12/5	medium
71169	GLSA-201312-03：OpenSSL：多种漏洞	Nessus	Gentoo Local Security Checks	2013/12/3	2022/12/5	high
79013	RHEL 6：rhevm-spice-client (RHSA-2014: 0416)	Nessus	Red Hat Local Security Checks	2014/11/8	2023/4/25	high
69877	Mac OS X 10.8.x < 10.8.5 多种漏洞	Nessus	MacOS X Local Security Checks	2013/9/13	2024/5/28	critical

检测

插件搜索

medium

low

medium

medium

high

medium

medium

critical

medium

medium

high

high

critical