The remote Fedora 36 host has a package installed that is affected by multiple vulnerabilities as referenced in the FEDORA-2022-ff582c5b0d advisory.

  - In Mbed TLS before 2.28.0 and 3.x before 3.1.0, psa_cipher_generate_iv and psa_cipher_encrypt allow policy     bypass or oracle-based decryption when the output buffer is at memory locations accessible to an untrusted     application. (CVE-2021-45450)

  - In Mbed TLS before 3.1.0, psa_aead_generate_nonce allows policy bypass or oracle-based decryption when the     output buffer is at memory locations accessible to an untrusted application. (CVE-2021-45451)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

リモートの Fedora 36 ホストには、FEDORA-2022-ff582c5b0d のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 2.28.0より前および 3.1.0 より前の 3.x の Mbed TLS では、psa_cipher_generate_iv および psa_cipher_encrypt により、出力バッファが信頼できないアプリケーションにアクセス可能なメモリ位置にある場合、ポリシーバイパスまたは oracle ベースの復号化が可能です。(CVE-2021-45450)

  - 3.1.0より前の Mbed TLS では、psa_aead_generate_nonce により、出力バッファが信頼できないアプリケーションにアクセス可能なメモリ位置にある場合、ポリシーバイパスまたは oracle ベースの復号化が可能です。(CVE-2021-45451)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

The remote host is affected by the vulnerability described in GLSA-202301-08 (Mbed TLS: Multiple Vulnerabilities)

  - A Lucky 13 timing side channel in mbedtls_ssl_decrypt_buf in library/ssl_msg.c in Trusted Firmware Mbed     TLS through 2.23.0 allows an attacker to recover secret key information. This affects CBC mode because of     a computed time difference based on a padding length. (CVE-2020-16150)

  - An issue was discovered in Arm Mbed TLS before 2.23.0. Because of a side channel in modular     exponentiation, an RSA private key used in a secure enclave could be disclosed. (CVE-2020-36421)

  - An issue was discovered in Arm Mbed TLS before 2.23.0. A side channel allows recovery of an ECC private     key, related to mbedtls_ecp_check_pub_priv, mbedtls_pk_parse_key, mbedtls_pk_parse_keyfile,     mbedtls_ecp_mul, and mbedtls_ecp_mul_restartable. (CVE-2020-36422)

  - An issue was discovered in Arm Mbed TLS before 2.23.0. A remote attacker can recover plaintext because a     certain Lucky 13 countermeasure doesn't properly consider the case of a hardware accelerator.
    (CVE-2020-36423)

  - An issue was discovered in Arm Mbed TLS before 2.24.0. An attacker can recover a private key (for RSA or     static Diffie-Hellman) via a side-channel attack against generation of base blinding/unblinding values.
    (CVE-2020-36424)

  - An issue was discovered in Arm Mbed TLS before 2.24.0. It incorrectly uses a revocationDate check when     deciding whether to honor certificate revocation via a CRL. In some situations, an attacker can exploit     this by changing the local clock. (CVE-2020-36425)

  - An issue was discovered in Arm Mbed TLS before 2.24.0. mbedtls_x509_crl_parse_der has a buffer over-read     (of one byte). (CVE-2020-36426)

  - An issue was discovered in Mbed TLS before 2.25.0 (and before 2.16.9 LTS and before 2.7.18 LTS). The     calculations performed by mbedtls_mpi_exp_mod are not limited; thus, supplying overly large parameters     could lead to denial of service when generating Diffie-Hellman key pairs. (CVE-2020-36475)

  - An issue was discovered in Mbed TLS before 2.24.0 (and before 2.16.8 LTS and before 2.7.17 LTS). There is     missing zeroization of plaintext buffers in mbedtls_ssl_read to erase unused application data from memory.
    (CVE-2020-36476)

  - An issue was discovered in Mbed TLS before 2.24.0. The verification of X.509 certificates when matching     the expected common name (the cn argument of mbedtls_x509_crt_verify) with the actual certificate name is     mishandled: when the subjecAltName extension is present, the expected name is compared to any name in that     extension regardless of its type. This means that an attacker could impersonate a 4-byte or 16-byte domain     by getting a certificate for the corresponding IPv4 or IPv6 address (this would require the attacker to     control that IP address, though). (CVE-2020-36477)

  - An issue was discovered in Mbed TLS before 2.25.0 (and before 2.16.9 LTS and before 2.7.18 LTS). A NULL     algorithm parameters entry looks identical to an array of REAL (size zero) and thus the certificate is     considered valid. However, if the parameters do not match in any way, then the certificate should be     considered invalid. (CVE-2020-36478)

  - A Denial of Service vulnerability exists in mbed TLS 3.0.0 and earlier in the mbedtls_pkcs12_derivation     function when an input password's length is 0. (CVE-2021-43666)

  - Mbed TLS before 3.0.1 has a double free in certain out-of-memory conditions, as demonstrated by an     mbedtls_ssl_set_session() failure. (CVE-2021-44732)

  - In Mbed TLS before 2.28.0 and 3.x before 3.1.0, psa_cipher_generate_iv and psa_cipher_encrypt allow policy     bypass or oracle-based decryption when the output buffer is at memory locations accessible to an untrusted     application. (CVE-2021-45450)

  - An issue was discovered in Mbed TLS before 2.28.1 and 3.x before 3.2.0. In some configurations, an     unauthenticated attacker can send an invalid ClientHello message to a DTLS server that causes a heap-based     buffer over-read of up to 255 bytes. This can cause a server crash or possibly information disclosure     based on error responses. Affected configurations have MBEDTLS_SSL_DTLS_CLIENT_PORT_REUSE enabled and     MBEDTLS_SSL_IN_CONTENT_LEN less than a threshold that depends on the configuration: 258 bytes if using     mbedtls_ssl_cookie_check, and possibly up to 571 bytes with a custom cookie check function.
    (CVE-2022-35409)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

远程主机受到 GLSA-202301-08 中所述漏洞的影响（Mbed TLS：多个漏洞）

  - 在受信任的固件 Mbed TLS 2.23.0 及其之前版本中，library/ssl_msg.c 的 mbedtls_ssl_decrypt_buf 中存在 Lucky 13 时序边信道，允许攻击者恢复密钥信息。这会影响 CBC 模式，因为是根据填充长度计算出时间差。(CVE-2020-16150)

  - 在 Arm Mbed TLS 2.23.0 之前版本中发现一个问题。由于模幂运算中存在边信道，因此在安全飞地中使用的 RSA 私钥可能会被泄露。(CVE-2020-36421)

  - 在 Arm Mbed TLS 2.23.0 之前版本中发现一个问题。边信道允许恢复与 mbedtls_ecp_check_pub_priv、mbedtls_pk_parse_key、mbedtls_pk_parse_keyfile、mbedtls_ecp_mul 和 mbedtls_ecp_mul_restartable 相关的 ECC 私钥。(CVE-2020-36422)

  - 在 Arm Mbed TLS 2.23.0 之前版本中发现一个问题。远程攻击者可以恢复明文密钥，这是因为某个 Lucky 13 对策未正确考虑硬件加速器的情况。
    (CVE-2020-36423)

  - 在 Arm Mbed TLS 2.24.0 之前版本中发现一个问题。攻击者可通过针对基础盲化/解密值的生成执行边信道攻击来恢复私钥（用于 RSA 或静态 Diffie-Hellman）。
    (CVE-2020-36424)

  - 在 Arm Mbed TLS 2.24.0 之前版本中发现一个问题。当决定是否通过 CRL 接受证书撤销时，它错误地使用了 revocationDate 检查。在某些情况下，攻击者可通过更改本地时钟来利用此漏洞。(CVE-2020-36425)

  - 在 2.24.0 之前的 Arm Mbed TLS 中发现一个问题。 mbedtls_x509_crl_parse_der 存在缓冲区过度读取（一个字节）。(CVE-2020-36426)

  - 在 2.25.0 之前（2.16.9 LTS 之前及 2.7.18 LTS 之前）的 Mbed TLS 中发现了一个问题。mbedtls_mpi_exp_mod 执行的计算不受限制；因此，在生成 Diffie-Hellman 密钥对时，提供过大参数可能会导致拒绝服务。(CVE-2020-36475)

  - 在 2.24.0 之前（2.16.8 LTS 之前及 2.7.17 LTS 之前）的 Mbed TLS 中发现了一个问题。mbedtls_ssl_read 中缺少用于从内存擦除未用应用程序数据的明文缓冲区归零。
    (CVE-2020-36476)

  - 在 Mbed TLS 2.24.0 之前版本中发现一个问题。预期公用名（mbedtls_x509_crt_verify 的 cn 参数）与实际证书名称匹配时，对 X.509 证书的验证未得到正确处理：当存在 subjecAltName 扩展时，会将预期名称与该扩展程序中的任何名称进行比较，而不考虑其类型。这意味着攻击者可通过获取相应 IPv4 或 IPv6 地址的证书来冒充 4 字节或 16 字节的域（不过，这需要攻击者控制该 IP 地址）。 (CVE-2020-36477)

  - 在 2.25.0 之前（2.16.9 LTS 之前及 2.7.18 LTS 之前）的 Mbed TLS 中发现了一个问题。NULL 算法参数条目看起来与 REAL 数组（大小为零）相同，因此证书被视为有效。但是，如果参数在任何方面均不匹配，则证书应被视为无效。(CVE-2020-36478)

  - 当输入密码的长度为 0 时，mbed TLS 3.0.0 及更低版本的 mbedtls_pkcs12_derivation 函数中存在拒绝服务漏洞。(CVE-2021-43666)

  - 在某些内存不足的情况下，3.0.1 之前版本的 Mbed TLS 存在双重释放漏洞，这一点已由 mbedtls_ssl_set_session() 失败所证实。(CVE-2021-44732)

  - 在低于 2.28.0 的 Mbed TLS 和低于 3.x 的 3.1.0中，当输出缓冲区位于不受信任的应用程序可访问的内存位置时，psa_cipher_generate_iv 和 psa_cipher_encrypt 允许策略绕过或基于 oracle 的解密。 (CVE-2021-45450)

  - 在 Mbed TLS 2.28.1 之前版本以及 3.2.0 之前的 3.x 版本中发现一个问题。在某些配置中，未经身份验证的攻击者可向 DTLS 服务器发送无效的 ClientHello 消息，从而造成最多 255 个字节的基于堆的缓冲区过度读取。根据错误响应，这可能导致服务器崩溃或信息泄露。受影响的配置启用了 MBEDTLS_SSL_DTLS_CLIENT_PORT_REUSE，并且 MBEDTLS_SSL_IN_CONTENT_LEN 小于取决于配置的阈值：使用 mbedtls_ssl_cookie_check 时为 258 个字节，使用自定义 Cookie 检查函数时可能多达 571 个字节。
    (CVE-2022-35409)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

遠端主機受到 GLSA-202301-08 中所述的弱點影響 (Mbed TLS：多個弱點)

  - 在受信任的韌體 Mbed TLS 2.23.0 及其之前版本中，library/ssl_msg.c 的 mbedtls_ssl_decrypt_buf 中存在 Lucky 13 計時側通道，攻擊者可以藉此復原私密金鑰資訊。這會影響 CBC 模式，這是因為根據填補長度計算出的時間差。(CVE-2020-16150)

  - 在 Arm Mbed TLS 2.23.0 之前版本中發現一個問題。由於模組化乘冪中有側通道，因此可洩漏安全飛地中使用的 RSA 私密金鑰。(CVE-2020-36421)

  - 在 Arm Mbed TLS 2.23.0 之前版本中發現一個問題。側通道允許復原與 mbedtls_ecp_check_pub_priv、mbedtls_pk_parse_key、mbedtls_pk_parse_keyfile、mbedtls_ecp_mul 和 mbedtls_ecp_mul_restartable 有關的 ECC 私密金鑰。(CVE-2020-36422)

  - 在 Arm Mbed TLS 2.23.0 之前版本中發現一個問題。遠端攻擊者可複原純文字，因為特定的 Lucky 13 對策未正確考量硬體加速器的情況。
    (CVE-2020-36423)

  - 在 Arm Mbed TLS 2.24.0 之前版本中發現一個問題。攻擊者可針對基底遮盲/解除遮盲值的產生，透過旁路攻擊復原 (RSA 或靜態 Diffie-Hellman) 的私密金鑰。
    (CVE-2020-36424)

  - 在 Arm Mbed TLS 2.24.0 之前版本中發現一個問題。在決定是否透過 CRL 接受憑證撤銷時，它錯誤地使用了 revocationDate 檢查。在某些情況下，攻擊者可透過變更本機時鐘來利用此弱點。(CVE-2020-36425)

  - 在 2.24.0 版之前的 Arm Mbed TLS 中發現一個問題。mbedtls_x509_crl_parse_der 存在緩衝區過度讀取 (一個位元組) 問題。(CVE-2020-36426)

  - 在 Mbed LTS 2.25.0 之前版本 (以及 2.16.9 之前的 LTS 和 2.7.18 之前的 LTS)  中發現一個問題。mbedtls_mpi_exp_mod 執行的計算不受限制，因此在產生 Diffie-Hellman 金鑰組時，提供過大的參數可導致程式拒絕服務。(CVE-2020-36475)

  - 在 Mbed LTS 2.24.0 之前版本 (以及 2.16.8 之前的 LTS 和 2.7.17 之前的 LTS)  中發現一個問題。mbedtls_ssl_read 中缺少純文字緩衝區歸零操作，無法清除記憶體中未使用的應用程式資料。
    (CVE-2020-36476)

  - 在 Mbed TLS  2.24.0 之前的版本中發現一個問題。將預期的共用名稱 (mbedtls_x509_crt_verify 的 cn 引數) 與實際憑證名稱比對時，驗證 X.509 憑證的處理方式有誤：當存在 subjecAltName 擴充時，無論其類型為何，系統都會將預期的名稱與該擴充中的任何名稱進行比較。這表示攻擊者可透過取得 IPv4 或 IPv6 位址對應的憑證來冒充 4 位元組或 16 位元組網域 (前提是攻擊者必須控制該 IP 位址)。(CVE-2020-36477)

  - 在 Mbed LTS 2.25.0 之前版本 (以及 2.16.9 之前的 LTS 和 2.7.18 之前的 LTS)  中發現一個問題。NULL 演算法參數項目看起來與 REAL (大小爲零) 陣列相同，因此該憑證被視為有效。但是，如果參數在任何情況下都不相符，則應將憑證視為無效。(CVE-2020-36478)

  - 當輸入密碼的長度為 0 時，mbed TLS 3.0.0 和更舊版本的 mbedtls_pkcs12_derivation 函式中存在拒絕服務弱點。(CVE-2021-43666)

  - 在某些記憶體不足的情況下，Med TLS 3.0.1 之前版本會發生重複釋放。mbedtls_ssl_set_session() 失敗即為一例。(CVE-2021-44732)

  - 在 Mbed TLS 2.28.0 之前的版本以及 3.1.0 之前的 3.x 版中，當輸出緩衝區位於未受信任的應用程式可存取的記憶體位置時，psa_cipher_generate_iv 和 psa_cipher_encrypt 允許略過政策或進行 oracle 解密。(CVE-2021-45450)

  - 在 Mbed TLS 2.28.1 之前版本以及 3.2.0 之前的 3.x 版中發現一個問題。在某些組態中，未經驗證的攻擊者可傳送無效的 ClientHello 訊息至 DTLS 伺服器，造成最多 255 個位元組的堆積型緩衝區過度讀取。這可造成伺服器當機，或可能根據錯誤回應造成資訊洩漏。受影響的組態已啟用 MBEDTLS_SSL_DTLS_CLIENT_PORT_REUSE，且 MBEDTLS_SSL_IN_CONTENT_LEN 小於視組態而定的閾值：如果使用 mbedtls_ssl_cookie_check，則為 258 位元組，若使用自訂 Cookie 檢查函式，則可能高達 571 位元組。
    (CVE-2022-35409)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	Name	Product	Family	Published	Updated	Severity
169042	Fedora 36 : mbedtls (2022-ff582c5b0d)	Nessus	Fedora Local Security Checks	12/22/2022	12/22/2022	high
169042	Fedora 36: mbedtls (2022-ff582c5b0d)	Nessus	Fedora Local Security Checks	12/22/2022	12/22/2022	high
169842	GLSA-202301-08 : Mbed TLS: Multiple Vulnerabilities	Nessus	Gentoo Local Security Checks	1/11/2023	9/8/2023	critical
169842	GLSA-202301-08 : Mbed TLS: 多个漏洞	Nessus	Gentoo Local Security Checks	1/11/2023	9/8/2023	critical
169842	GLSA-202301-08：Mbed TLS：多個弱點	Nessus	Gentoo Local Security Checks	1/11/2023	9/8/2023	critical

Detections

Analytics

Plugins Search

high

high

critical

critical

critical