在 polarssl (一種輕量型密碼編譯和 SSL/TLS 程式庫，現以 mbedtls 名稱繼續作用) 中發現兩個弱點，可透過旁路攻擊導致純文字復原。在 polarssl 中發現兩個其他次要弱點，可導致算數溢位錯誤。CVE-2018-0497 為了抵禦 Lucky Thirteen 攻擊，在 encrypt-then-MAC 模式下用於 CBC 解密的 TLS 程式碼會執行額外的 MAC 計算，以補償因填補而導致的訊息大小變化。執行的額外 MAC 計算量會根據大部分時間都花在處理 64 位元組區塊的這個假設，但這對於大多數支援的雜湊值是正確的，對於 SHA-384 則是不正確的。更正 SHA-384 的額外工作量 (以及目前未在 TLS 中使用的 SHA-512，和沒人會在意的 MD2)。這個迴歸修正是針對 CVE-2013-0169 的修正。CVE-2018-0498 Lucky 13 系列攻擊的基本概念是讓攻擊者能辨別 (長) 有效 TLS-CBC 填補和無效 TLS-CBC 填補。因為我們的程式碼會在無效填補設定 padlen = 0，所以 HMAC 函式的輸入長度即可提供此資訊。可以從使用了多少 MD/SHA 填補 (與 TLS-CBC 填補不同) 推斷出有關此長度的資訊 (MD/SHA 區段大小的模數運算)。如果從 (靜態) 緩衝區讀取 MD/SHA 填補，則本機攻擊者可以透過鎖定該緩衝區的快取攻擊來取得使用量的資訊。讓我們捨棄這個緩衝區。現在，唯一使用的緩衝區是內部 MD/SHA 緩衝區，其始終由 process() 函式完全讀取。CVE-2018-9988 在邊界檢查上防止算數溢位，並在 ssl_parse_server_key_exchange() 中進行簽名長度讀取前新增邊界檢查。CVE-2018-9989 在邊界檢查上防止算數溢位，並在 ssl_parse_server_psk_hint() 中進行簽名長度讀取前新增邊界檢查。針對 Debian 8「Jessie」，這些問題已在 1.3.9-2.1+deb8u4 版本中修正。建議您升級 polarssl 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

轻量级的加密和 SSL/TLS 库 polarssl（如今以 mbedtls 的名称继续使用）中发现两个漏洞，通过边信道攻击，可能会造成明文恢复。polarssl 中还发现了两个次要漏洞，可能会造成算术溢出错误。CVE-2018-0497 作为针对 Lucky Thirteen 攻击的保护措施，encrypt-then-MAC 模式中 CBC 解密的 TLS 代码会执行额外的 MAC 计算，以补偿由于 padding 造成的消息大小差异。额外的 MAC 计算量建立在大量的时间花费在处理 64 个字节区块中这一假设的基础上，这一假设适用于大部分受支持的哈希，但不适用于 SHA-384。修正了 SHA-384 的额外工作量（还包括 TLS 中目前未使用的 SHA-512，以及无人问津的 MD2）。此更新是对 CVE-2013-0169 已修复漏洞的回归修复。CVE-2018-0498 Lucky 13 家族的攻击基础在于攻击者能够区分（长）有效 TLS-CBC padding 和无效 TLS-CBC padding。由于代码将 padlen = 0 设置为无效 padding，因此 HMAC 函数的输入长度即可提供此信息。有关此长度的信息（对 MD/SHA 块大小取模）可以通过使用了多少 MD/SHA padding（这不同于 TLS-CBC padding）来推断。如果从（静态）缓冲区读取了 MD/SHA padding，本地攻击者通过针对该缓冲区的缓存攻击，可能会获取有关使用量的信息。我们去掉了此缓冲区。现在唯一使用的缓冲区是内部 MD/SHA 缓冲区，该缓冲区始终会通过 process() 函数完全读取。CVE-2018-9988 防止边界检查的算术溢出，并在 ssl_parse_server_key_exchange() 读取签名长度前添加边界检查。CVE-2018-9989 防止边界检查的算术溢出，并在 ssl_parse_server_psk_hint() 读取长度前添加边界检查 对于 Debian 8“Jessie”，这些问题已在 1.3.9-2.1+deb8u4 版本中修复。建议您升级 polarssl 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

轻量级的加密和 SSL/TLS 库 mbedtls 中发现两个漏洞，通过边信道攻击，可能会造成明文恢复。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 低于 2.12.0的、低于 2.7.5的 和低于 2.1.14 的ARM mbed TLS 允许本地用户通过基于缓存的边信道攻击实现部分明文恢复针对基于 CBC 的加密套件。 (CVE-2018-0498)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

據發現，mbedtls 透過整數溢位繞過邊界檢查，攻擊者可利用此問題執行任意程式碼或造成拒絕服務。(CVE-2017-18187)

據發現，mbedtls 有一個弱點可讓攻擊者透過在 TLS 或 DTLS 工作階段內的 RSASSA-PSS 簽章驗證期間未正確處理的特製憑證鏈，執行任意程式碼或造成拒絕服務 (緩衝區溢位)。
(CVE-2018-0487)

據發現，mbedtls 有一個弱點可讓攻擊者透過 TLS 或 DTLS 工作階段內的特製應用程式封包，執行任意程式碼或造成拒絕服務 (堆積損毀)。(CVE-2018-0488)

據發現，mbedtls 有一個弱點可讓遠端攻擊者透過計時型旁路攻擊，達到部分純文字復原 (針對 CBC 型加密套件)。(CVE-2018-0497)

據發現，mbedtls 有一個弱點可讓本機使用者透過快取型旁路攻擊，達到部分純文字復原 (針對 CBC 型加密套件)。(CVE-2018-0498)

請注意，Tenable Network Security 已直接從 Ubuntu 安全性公告擷取前述描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

发现 mbedtls 通过整数溢出而具有边界检查绕过，攻击者可以利用整数溢出执行任意代码或导致拒绝服务。(CVE-2017-18187)

发现 mbedtls 具有漏洞，攻击者可以通过构建的证书链来执行任意代码或导致拒绝服务（缓冲区溢出），该证书链在 TLS 或 DTLS 会话中的 RSASSA-PSS 签名验证期间处理不当。
(CVE-2018-0487)

发现 mbedtls 具有漏洞，攻击者可以通过 TLS 或 DTLS 会话中构建的应用程序数据包来执行任意代码或导致拒绝服务（堆损坏）。(CVE-2018-0488)

发现 mbedtls 具有漏洞，该漏洞允许远程攻击者通过基于计时的边信道攻击来实现部分明文恢复（针对基于 CBC 的密码套件）。(CVE-2018-0497)

发现 mbedtls 具有漏洞，该漏洞允许本地用户通过基于缓存的边信道攻击来实现部分明文恢复（针对基于 CBC 的密码套件）。(CVE-2018-0498)

请注意，Tenable Network Security 已直接从 Ubuntu 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行了自动清理和排版。

在 mbedtls (一種輕量型密碼編譯和 SSL/TLS 程式庫) 中發現兩個弱點，可透過旁路攻擊導致純文字復原。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 在 2.12.0、 2.7.5之前的 和 2.1.14 之前的 版中ARM mbed TLS 允許本機使用者透過快取型旁路攻擊達到部分純文字復原 (針對 CBC 型加密套件)。 (CVE-2018-0498)

請注意，Nessus 依賴供應商報告的套件存在。

軽量暗号およびSSL/TLSライブラリであるPolarSSL（現在の名前はMbed TLS）に2つの脆弱性が発見されました。これにより、サイドチャネル攻撃によるプレーンテキストの復元が行われる可能性があります。

PolarSSLで、算術オーバーフローエラーを引き起こす可能性がある、その他のマイナーな2つの脆弱性が発見されました。

CVE-2018-0497

Lucky Thirteen攻撃に対する保護として、encrypt-then-MACモードのCBC復号化のTLSコードは、パディングによるメッセージサイズの変動を補正するために、追加のMAC計算を実行します。実行する追加のMAC計算の量は、大半の時間が64バイトブロックの処理に費やされるという仮定に基づいていました。これは、SHA-384以外のほとんどのサポートされているハッシュでは正しく計算されます。SHA-384（およびSHA-512（TLSやMD2では現在使用されなくなったため特に気に掛ける必要はありません））の追加の作業量を修正します。

これは、CVE-2013-0169の修正で発生したリグレッションに対する修正です。

CVE-2018-0498

一連のLucky 13攻撃では、攻撃者が（長い）有効なTLS-CBCパディングと無効なTLS-CBCパディングを区別できることに基本的な問題があります。コードでは無効なパディングに対してpadlen = 0が設定されているため、HMAC関数への入力の長さから、それに関する情報が得られます。

この長さに関する情報（MD/SHAブロックサイズを法とする）は、MD/SHAパディング（TLS-CBCパディングとは別です）がどの程度使用されているかという情報から推測できます。MD/SHAパディングが（静的）バッファから読み取られる場合、ローカルの攻撃者が、そのバッファを標的とするキャッシュ攻撃で、使用量に関する情報を入手する可能性があります。

このバッファを取り除いてください。現在、使用されるバッファは内部のMD/SHAバッファのみであり、これは常にprocess()関数によって完全に読み取られます。

CVE-2018-9988

境界チェックの算術オーバーフローを防止し、ssl_parse_server_key_exchange()での署名の長さ読み取りの前に境界チェックを追加します。

CVE-2018-9989

境界チェックの算術オーバーフローを防止し、ssl_parse_server_psk_hint()での署名の長さ読み取りの前に境界チェックを追加します。

Debian 8「Jessie」では、これらの問題はバージョン1.3.9-2.1+deb8u4で修正されました。

polarsslパッケージをアップグレードすることをお勧めします。

注: Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリーから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

mbedtls には整数オーバーフローにつながる境界チェックバイパスがあり、攻撃者がこれを悪用して任意のコードを実行したりサービス拒否を引き起こしたりする可能性があることがわかりました。(CVE-2017-18187)

mbedtlsには脆弱性があり、TLSまたはDTLSセッション内でのRSASSA-PSS署名認証の間に誤って処理される細工された認証情報チェーンを使用して、攻撃者が任意のコードを実行したり、サービス拒否（バッファオーバーフロー）を引き起こしたりする可能性があることがわかりました。
(CVE-2018-0487)

mbedtls には脆弱性があり、TLS または DTLS セッション内での細工されたアプリケーションパケットを使用して、攻撃者が任意のコードを実行したり、サービス拒否 (ヒープ破損) を引き起こしたりする可能性があることがわかりました。(CVE-2018-0488)

mbedtls には脆弱性があり、リモートの攻撃者がタイミングベースのサイドチャンネル攻撃を仕掛けて、部分的な平文回復 (CBC ベースの暗号スイート用) を実行する可能性があることがわかりました。(CVE-2018-0497)

mbedtls には脆弱性があり、ローカルユーザーがキャッシュベースのサイドチャンネル攻撃を仕掛けて、部分的な平文回復 (CBC ベースの暗号スイート用) を実行する可能性があることがわかりました。(CVE-2018-0498)。

注意: Tenable Network Security は、前述の説明ブロックをUbuntuセキュリティアドバイザリからすでに直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Simon Butcher による報告：

- CBCベースの暗号スイートを使用する際、リモートの攻撃者が平文を部分的に復元する可能性があります。

- CBCベースの暗号スイートを使用する場合、攻撃中のマシンで任意のコードを実行できる攻撃者が、キャッシュベースのサイドチャネルを使用して平文を部分的に復元する可能性があります。

軽量暗号およびSSL/TLSライブラリであるmbedtlsに2つの脆弱性が発見されました。これにより、サイドチャネル攻撃によるプレーンテキストの復元が行われる可能性があります。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 2.12.0より前の 、 2.7.5より前の 、 2.1.14 より前の の ARM mbed TLS では、ローカルユーザーが、キャッシュベースのサイドチャネル攻撃を介して、部分的な平文回復CBC ベースの暗号スイート用を達成する可能性があります。CVE-2018-0498

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The remote Ubuntu 16.04 LTS host has packages installed that are affected by multiple vulnerabilities as referenced in the USN-4267-1 advisory.

    It was discovered that mbedtls has a bounds-check bypass through an integer overflow that can be used by     an attacked to execute arbitrary code or cause a denial of service. (CVE-2017-18187)

    It was discovered that mbedtls has a vulnerability where an attacker could execute arbitrary code or cause     a denial of service (buffer overflow) via a crafted certificate chain that is mishandled during RSASSA-PSS     signature verification within a TLS or DTLS session. (CVE-2018-0487)

    It was discovered that mbedtls has a vulnerability where an attacker could execute arbitrary code or cause     a denial of service (heap corruption) via a crafted application packet within a TLS or DTLS session.
    (CVE-2018-0488)

    It was discovered that mbedtls has a vulnerability that allows remote attackers to achieve partial     plaintext recovery (for a CBC based ciphersuite) via a timing-based side-channel attack. (CVE-2018-0497)

    It was discovered that mbedtls has a vulnerability that allows local users to achieve partial plaintext     recovery (for a CBC based ciphersuite) via a cache-based side-channel attack. (CVE-2018-0498)

Tenable has extracted the preceding description block directly from the Ubuntu security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

Two vulnerabilities were discovered in polarssl, a lightweight crypto and SSL/TLS library (nowadays continued under the name mbedtls) which could result in plain text recovery via side-channel attacks.

Two other minor vulnerabilities were discovered in polarssl which could result in arithmetic overflow errors.

CVE-2018-0497

As a protection against the Lucky Thirteen attack, the TLS code for CBC decryption in encrypt-then-MAC mode performs extra MAC calculations to compensate for variations in message size due to padding. The amount of extra MAC calculation to perform was based on the assumption that the bulk of the time is spent in processing 64-byte blocks, which is correct for most supported hashes but not for SHA-384. Correct the amount of extra work for SHA-384 (and SHA-512 which is currently not used in TLS, and MD2 although no one should care about that).

This is a regression fix for what CVE-2013-0169 had been fixed this.

CVE-2018-0498

The basis for the Lucky 13 family of attacks is for an attacker to be able to distinguish between (long) valid TLS-CBC padding and invalid TLS-CBC padding. Since our code sets padlen = 0 for invalid padding, the length of the input to the HMAC function gives information about that.

Information about this length (modulo the MD/SHA block size) can be deduced from how much MD/SHA padding (this is distinct from TLS-CBC padding) is used. If MD/SHA padding is read from a (static) buffer, a local attacker could get information about how much is used via a cache attack targeting that buffer.

Let's get rid of this buffer. Now the only buffer used is the internal MD/SHA one, which is always read fully by the process() function.

CVE-2018-9988

Prevent arithmetic overflow on bounds check and add bound check before signature length read in ssl_parse_server_key_exchange().

CVE-2018-9989

Prevent arithmetic overflow on bounds check and add bound check before length read in ssl_parse_server_psk_hint()

For Debian 8 'Jessie', these problems have been fixed in version 1.3.9-2.1+deb8u4.

We recommend that you upgrade your polarssl packages.

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

Simon Butcher reports :

- When using a CBC based ciphersuite, a remote attacker can partially recover the plaintext.

- When using a CBC based ciphersuite, an attacker with the ability to execute arbitrary code on the machine under attack can partially recover the plaintext by use of cache based side-channels.

Two vulnerabilities were discovered in mbedtls, a lightweight crypto and SSL/TLS library which could result in plain text recovery via side-channel attacks.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - ARM mbed TLS before 2.12.0, before 2.7.5, and before 2.1.14 allows local users to achieve partial     plaintext recovery (for a CBC based ciphersuite) via a cache-based side-channel attack. (CVE-2018-0498)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
117711	Debian DLA-1518-1：polarssl 安全性更新	Nessus	Debian Local Security Checks	2018/9/27	2025/11/20	medium
117711	Debian DLA-1518-1：polarssl 安全更新	Nessus	Debian Local Security Checks	2018/9/27	2025/11/20	medium
117506	Debian DSA-4296-1：mbedtls - 安全更新	Nessus	Debian Local Security Checks	2018/9/17	2025/3/25	medium
248056	Linux Distros 未修补的漏洞：CVE-2018-0498	Nessus	Misc.	2025/8/11	2025/8/11	medium
133521	Ubuntu 16.04 LTS：ARM mbed TLS 弱點 (USN-4267-1)	Nessus	Ubuntu Local Security Checks	2020/2/6	2024/8/27	critical
133521	Ubuntu 16.04 LTS：ARM mbed TLS 漏洞 (USN-4267-1)	Nessus	Ubuntu Local Security Checks	2020/2/6	2024/8/27	critical
117506	Debian DSA-4296-1：mbedtls - 安全性更新	Nessus	Debian Local Security Checks	2018/9/17	2025/3/25	medium
248056	Linux Distros 未修補的弱點：CVE-2018-0498	Nessus	Misc.	2025/8/11	2025/8/11	medium
117711	Debian DLA-1518-1: polarsslのセキュリティ更新	Nessus	Debian Local Security Checks	2018/9/27	2025/11/20	medium
133521	Ubuntu 16.04 LTS: ARM mbed TLS の脆弱性 (USN-4267-1)	Nessus	Ubuntu Local Security Checks	2020/2/6	2024/8/27	critical
111659	FreeBSD: mbed TLS -- 平文復元の脆弱性（f4876dd4-9ca8-11e8-aa17-0011d823eebd）	Nessus	FreeBSD Local Security Checks	2018/8/13	2025/3/26	medium
117506	DebianDSA-4296-1：mbedtls - セキュリティ更新	Nessus	Debian Local Security Checks	2018/9/17	2025/3/25	medium
248056	Linux Distros のパッチ未適用の脆弱性: CVE-2018-0498	Nessus	Misc.	2025/8/11	2025/8/11	medium
133521	Ubuntu 16.04 LTS : ARM mbed TLS vulnerabilities (USN-4267-1)	Nessus	Ubuntu Local Security Checks	2020/2/6	2024/8/27	critical
117711	Debian DLA-1518-1 : polarssl security update	Nessus	Debian Local Security Checks	2018/9/27	2025/11/20	medium
111659	FreeBSD : mbed TLS -- plaintext recovery vulnerabilities (f4876dd4-9ca8-11e8-aa17-0011d823eebd)	Nessus	FreeBSD Local Security Checks	2018/8/13	2025/3/26	medium
117506	Debian DSA-4296-1 : mbedtls - security update	Nessus	Debian Local Security Checks	2018/9/17	2025/3/25	medium
248056	Linux Distros Unpatched Vulnerability : CVE-2018-0498	Nessus	Misc.	2025/8/11	2025/8/11	medium

检测

插件搜索

medium

medium

medium

medium

critical

critical

medium

medium

medium

critical

medium

medium

medium

critical

medium

medium

medium

medium