The remote Debian 10 host has packages installed that are affected by multiple vulnerabilities as referenced in the dla-3249 advisory.

    -------------------------------------------------------------------------     Debian LTS Advisory DLA-3249-1                debian-lts@lists.debian.org     https://www.debian.org/lts/security/                      Markus Koschany     December 26, 2022                             https://wiki.debian.org/LTS
    -------------------------------------------------------------------------

    Package        : mbedtls     Version        : 2.16.9-0~deb10u1     CVE ID         : CVE-2019-16910 CVE-2019-18222 CVE-2020-10932 CVE-2020-10941                      CVE-2020-16150 CVE-2020-36421 CVE-2020-36422 CVE-2020-36423                      CVE-2020-36424 CVE-2020-36425 CVE-2020-36426 CVE-2020-36475                      CVE-2020-36476 CVE-2020-36478 CVE-2021-24119 CVE-2021-43666                      CVE-2021-44732 CVE-2022-35409     Debian Bug     : 941265 963159 972806 1002631

    Multiple security vulnerabilities have been discovered in mbedtls, a     lightweight crypto and SSL/TLS library, which may allow attackers to obtain     sensitive information like the RSA private key or cause a denial of service     (application or server crash).

    For Debian 10 buster, these problems have been fixed in version     2.16.9-0~deb10u1.

    We recommend that you upgrade your mbedtls packages.

    For the detailed security status of mbedtls please refer to     its security tracker page at:
    https://security-tracker.debian.org/tracker/mbedtls

    Further information about Debian LTS security advisories, how to apply     these updates to your system and frequently asked questions can be     found at: https://wiki.debian.org/LTS     Attachment:
    signature.asc     Description: This is a digitally signed message part

Tenable has extracted the preceding description block directly from the Debian security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

遠端 Debian 10 主機上安裝的多個套件受到 dla-3249 公告中提及的多個弱點影響。

  - 2.19.0 版之前的 Arm Mbed TLS 和 2.0.0 版之前的 Arm Mbed Crypto 在啟用具決定性的 ECDSA 的情況下，會使用熵不足的 RNG 進行遮罩，如果受害者多次簽署相同的訊息，攻擊者就可以藉此透過旁路攻擊復原私密金鑰。(對於 Mbed TLS，也可在 2.7.12 和 2.16.3 版中取得此修正程式。) (CVE-2019-16910)

  - 在 Arm Mbed Crypto 2.1、Mbed TLS 2.19.1 及其之前版本中，ecdsa.c 中的 ECDSA 簽章實作未在計算逆函式之前減少遮盲純量，這允許本機攻擊者透過旁路攻擊復原私密金鑰。(CVE-2019-18222)

  - 在 Arm Mbed TLS 2.16.6 之前版本以及 2.7.15 之前的 2.7.x 版中發現一個問題。能夠獲得足夠精確的旁路測量值的攻擊者可透過下列方式複原長期 ECDSA 私密金鑰：(1) 在轉換為仿射座標時利用旁路，重建純量乘法結果的投影座標；(2) 使用 Naccache、Smart 和 Stern 在 2003 年描述的攻擊，透過數個測量值從這些投影座標復原數個暫時純量位元；(3) 使用格子攻擊取得用於簽章的長期 ECDSA 私密金鑰。
    通常，攻擊者在攻擊 SGX 飛地並控制未受信任的作業系統時，會擁有足夠的存取權。(CVE-2020-10932)

  - 2.16.5 版之前的 Arm Mbed TLS 允許攻擊者在匯入期間測量快取使用量，藉此取得敏感資訊 (RSA 私密金鑰)。(CVE-2020-10941)

  - 在受信任的韌體 Mbed TLS 2.23.0 及其之前版本中，library/ssl_msg.c 的 mbedtls_ssl_decrypt_buf 中存在 Lucky 13 計時側通道，攻擊者可以藉此復原私密金鑰資訊。這會影響 CBC 模式，這是因為根據填補長度計算出的時間差。(CVE-2020-16150)

  - 在 Arm Mbed TLS 2.23.0 之前版本中發現一個問題。由於模組化乘冪中有側通道，因此可洩漏安全飛地中使用的 RSA 私密金鑰。(CVE-2020-36421)

  - 在 Arm Mbed TLS 2.23.0 之前版本中發現一個問題。側通道允許復原與 mbedtls_ecp_check_pub_priv、mbedtls_pk_parse_key、mbedtls_pk_parse_keyfile、mbedtls_ecp_mul 和 mbedtls_ecp_mul_restartable 有關的 ECC 私密金鑰。(CVE-2020-36422)

  - 在 Arm Mbed TLS 2.23.0 之前版本中發現一個問題。遠端攻擊者可複原純文字，因為特定的 Lucky 13 對策未正確考量硬體加速器的情況。
    (CVE-2020-36423)

  - 在 Arm Mbed TLS 2.24.0 之前版本中發現一個問題。攻擊者可針對基底遮盲/解除遮盲值的產生，透過旁路攻擊復原 (RSA 或靜態 Diffie-Hellman) 的私密金鑰。
    (CVE-2020-36424)

  - 在 Arm Mbed TLS 2.24.0 之前版本中發現一個問題。在決定是否透過 CRL 接受憑證撤銷時，它錯誤地使用了 revocationDate 檢查。在某些情況下，攻擊者可透過變更本機時鐘來利用此弱點。(CVE-2020-36425)

  - 在 2.24.0 版之前的 Arm Mbed TLS 中發現一個問題。mbedtls_x509_crl_parse_der 存在緩衝區過度讀取 (一個位元組) 問題。(CVE-2020-36426)

  - 在 Mbed LTS 2.25.0 之前版本 (以及 2.16.9 之前的 LTS 和 2.7.18 之前的 LTS)  中發現一個問題。mbedtls_mpi_exp_mod 執行的計算不受限制，因此在產生 Diffie-Hellman 金鑰組時，提供過大的參數可導致程式拒絕服務。(CVE-2020-36475)

  - 在 Mbed LTS 2.24.0 之前版本 (以及 2.16.8 之前的 LTS 和 2.7.17 之前的 LTS)  中發現一個問題。mbedtls_ssl_read 中缺少純文字緩衝區歸零操作，無法清除記憶體中未使用的應用程式資料。
    (CVE-2020-36476)

  - 在 Mbed LTS 2.25.0 之前版本 (以及 2.16.9 之前的 LTS 和 2.7.18 之前的 LTS)  中發現一個問題。NULL 演算法參數項目看起來與 REAL (大小爲零) 陣列相同，因此該憑證被視為有效。但是，如果參數在任何情況下都不相符，則應將憑證視為無效。(CVE-2020-36478)

  - 在 Trusted Firmware Mbed TLS 2.24.0 中，base64 PEM 檔案解碼中存在旁路弱點，系統級 (系統管理員) 攻擊者可以透過對在可單步執行的隔離環境 (尤其是 Intel SGX) 中執行的軟體發動受控通道和旁路攻擊，來取得有關私密 RSA 金鑰的資訊。(CVE-2021-24119)

  - 當輸入密碼的長度為 0 時，mbed TLS 3.0.0 和更舊版本的 mbedtls_pkcs12_derivation 函式中存在拒絕服務弱點。(CVE-2021-43666)

  - 在某些記憶體不足的情況下，Med TLS 3.0.1 之前版本會發生重複釋放。mbedtls_ssl_set_session() 失敗即為一例。(CVE-2021-44732)

  - 在 Mbed TLS 2.28.1 之前版本以及 3.2.0 之前的 3.x 版中發現一個問題。在某些組態中，未經驗證的攻擊者可傳送無效的 ClientHello 訊息至 DTLS 伺服器，造成最多 255 個位元組的堆積型緩衝區過度讀取。這可造成伺服器當機，或可能根據錯誤回應造成資訊洩漏。受影響的組態已啟用 MBEDTLS_SSL_DTLS_CLIENT_PORT_REUSE，且 MBEDTLS_SSL_IN_CONTENT_LEN 小於視組態而定的閾值：如果使用 mbedtls_ssl_cookie_check，則為 258 位元組，若使用自訂 Cookie 檢查函式，則可能高達 571 位元組。
    (CVE-2022-35409)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程 Debian 10 主机上安装的程序包受到 dla-3249 公告中提及的多个漏洞影响。

  - 低于 2.19.0 的 Arm Mbed TLS 和低于 2.0.0 的 Arm Mbed Crypto 在启用具决定性的 ECDSA 的情况下，会使用熵不足的 RNG 进行伪装，如果受害者多次签署相同的消息，攻击者就可以通过边信道攻击恢复私人密钥。（对于 Mbed TLS，也可在版本 2.7.12 和 2.16.3 中取得该补丁。）(CVE-2019-16910)

  - 在 Arm Mbed Crypto 2.1、Mbed TLS 2.19.1 及其之前版本中，ecdsa.c 中的 ECDSA 签名实现在计算逆函数之前未减少盲标量，这允许本地攻击者通过边信道攻击恢复私钥。(CVE-2019-18222)

  - 在 Arm Mbed TLS 2.16.6 之前版本以及 2.7.15 之前的 2.7.x 版中发现了一个问题。能够获得足够精确的边信道测量值的攻击者可通过以下方法恢复长期 ECDSA 私钥：(1) 利用仿射坐标转换过程中的边信道，重建标量相乘结果的投影坐标；(2) 利用 Naccache、Smart 和 Stern 在 2003 年描述的一种攻击，通过若干测量值从这些投影坐标中恢复一些临时标量；(3) 使用格子攻击获取用于签名的长期 ECDSA 私钥。
    通常，攻击者在攻击 SGX 飞地并控制不受信任的操作系统时将拥有足够的访问权限。(CVE-2020-10932)

  - 低于 2.16.5 的 Arm Mbed TLS 允许攻击者通过在导入期间测量缓存使用情况来获取敏感信息（RSA 私钥）。(CVE-2020-10941)

  - 在受信任的固件 Mbed TLS 2.23.0 及其之前版本中，library/ssl_msg.c 的 mbedtls_ssl_decrypt_buf 中存在 Lucky 13 时序边信道，允许攻击者恢复密钥信息。这会影响 CBC 模式，因为是根据填充长度计算出时间差。(CVE-2020-16150)

  - 在 Arm Mbed TLS 2.23.0 之前版本中发现一个问题。由于模幂运算中存在边信道，因此在安全飞地中使用的 RSA 私钥可能会被泄露。(CVE-2020-36421)

  - 在 Arm Mbed TLS 2.23.0 之前版本中发现一个问题。边信道允许恢复与 mbedtls_ecp_check_pub_priv、mbedtls_pk_parse_key、mbedtls_pk_parse_keyfile、mbedtls_ecp_mul 和 mbedtls_ecp_mul_restartable 相关的 ECC 私钥。(CVE-2020-36422)

  - 在 Arm Mbed TLS 2.23.0 之前版本中发现一个问题。远程攻击者可以恢复明文密钥，这是因为某个 Lucky 13 对策未正确考虑硬件加速器的情况。
    (CVE-2020-36423)

  - 在 Arm Mbed TLS 2.24.0 之前版本中发现一个问题。攻击者可通过针对基础盲化/解密值的生成执行边信道攻击来恢复私钥（用于 RSA 或静态 Diffie-Hellman）。
    (CVE-2020-36424)

  - 在 Arm Mbed TLS 2.24.0 之前版本中发现一个问题。当决定是否通过 CRL 接受证书撤销时，它错误地使用了 revocationDate 检查。在某些情况下，攻击者可通过更改本地时钟来利用此漏洞。(CVE-2020-36425)

  - 在 2.24.0 之前的 Arm Mbed TLS 中发现一个问题。 mbedtls_x509_crl_parse_der 存在缓冲区过度读取（一个字节）。(CVE-2020-36426)

  - 在 2.25.0 之前（2.16.9 LTS 之前及 2.7.18 LTS 之前）的 Mbed TLS 中发现了一个问题。mbedtls_mpi_exp_mod 执行的计算不受限制；因此，在生成 Diffie-Hellman 密钥对时，提供过大参数可能会导致拒绝服务。(CVE-2020-36475)

  - 在 2.24.0 之前（2.16.8 LTS 之前及 2.7.17 LTS 之前）的 Mbed TLS 中发现了一个问题。mbedtls_ssl_read 中缺少用于从内存擦除未用应用程序数据的明文缓冲区归零。
    (CVE-2020-36476)

  - 在 2.25.0 之前（2.16.9 LTS 之前及 2.7.18 LTS 之前）的 Mbed TLS 中发现了一个问题。NULL 算法参数条目看起来与 REAL 数组（大小为零）相同，因此证书被视为有效。但是，如果参数在任何方面均不匹配，则证书应被视为无效。(CVE-2020-36478)

  - 在 Trusted Firmware Mbed TLS 2.24.0 中，base64 PEM 文件解码中存在一个边信道漏洞，此漏洞让系统级别（管理员）攻击者可以通过针对在隔离环境中运行的软件（单步执行，尤其是 Intel sgx）发起受控信道和边信道攻击，来获取有关秘密 RSA 密钥的信息。(CVE-2021-24119)

  - 当输入密码的长度为 0 时，mbed TLS 3.0.0 及更低版本的 mbedtls_pkcs12_derivation 函数中存在拒绝服务漏洞。(CVE-2021-43666)

  - 在某些内存不足的情况下，3.0.1 之前版本的 Mbed TLS 存在双重释放漏洞，这一点已由 mbedtls_ssl_set_session() 失败所证实。(CVE-2021-44732)

  - 在 Mbed TLS 2.28.1 之前版本以及 3.2.0 之前的 3.x 版中发现一个问题。在某些配置中，未经身份验证的攻击者可向 DTLS 服务器发送无效的 ClientHello 消息，从而造成最多 255 个字节的基于堆的缓冲区过度读取。根据错误响应，这可能导致服务器崩溃或信息泄露。受影响的配置启用了 MBEDTLS_SSL_DTLS_CLIENT_PORT_REUSE，并且 MBEDTLS_SSL_IN_CONTENT_LEN 小于取决于配置的阈值：使用 mbedtls_ssl_cookie_check 时为 258 个字节，使用自定义 Cookie 检查函数时可能多达 571 个字节。
    (CVE-2022-35409)

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号来判断。

- Update to 2.16.3

  - Side channel attack on deterministic ECDSA     (CVE-2019-16910)

Release notes:
https://tls.mbed.org/tech-updates/releases/mbedtls-2.16.3-and-2.7.12-r eleased

Security Advisory:
https://tls.mbed.org/tech-updates/security-advisories/mbedtls-security
-advisory-2019-10

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora update system website.
Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

リモートの Debian 10 ホストには、dla-3249 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 2.19.0 より前の Arm Mbed TLS および 2.0.0 より前の Arm Mbed Crypto では、決定論的 ECDSA が有効な場合、ブラインドに対して不十分なエントロピーのRNGを使用します。これにより、被害者が同じメッセージに何度も署名すると、攻撃者がサイドチャネル攻撃で秘密鍵を復元できる可能性があります。(Mbed TLS の場合、修正はバージョン 2.7.12 および 2.16.3 でも利用可能です。) (CVE-2019-16910)

  - Arm Mbed Crypto 2.1 および 2.19.1 までの Mbed TLS の ecdsa.c の ECDSA 署名実装は、逆数を計算する前にブラインドスカラーを削減しません。これにより、ローカルの攻撃者がサイドチャネル攻撃で秘密鍵を復元する可能性があります。(CVE-2019-18222)

  - 2.16.6 より前の Arm Mbed TLS および 2.7.15 より前の 2.7.x で問題が見つかりました。サイドチャネルを十分に正確に測定できる攻撃者は、以下の方法で長期的な ECDSA 秘密鍵を復元できます。(1) アフィン座標への変換でサイドチャネルを利用してスカラー倍算の結果の射影座標を再構築する。(2) 2003 年に Naccache、Smart、Stern によって報告された攻撃を利用して、いくつかの測定を通じて、これらの射影座標から一時的なスカラーの数ビットを復元します。(3) ラティス攻撃を使用して、そこから署名に使用する長期 ECDSA 秘密鍵を得る。
    通常、攻撃者は SGX エンクレーブを攻撃し、信頼できない OS をコントロールする場合、十分なアクセス権を持っているはずです。(CVE-2020-10932)

  - 2.16.5 より前の Arm Mbed TLS は、インポート中にキャッシュ使用率を測定することで、攻撃者が機密情報 (RSA 秘密鍵) を取得する可能性があります。(CVE-2020-10941)

  - 2.23.0 までの Trusted Firmware Mbed TLS の library/ssl_msg.c の mbedtls_ssl_decrypt_buf の Lucky 13 タイミングサイドチャネルにより、攻撃者は秘密鍵情報を復元できます。これは、パディング長に基づいて計算された時間差のため、CBC モードに影響します。(CVE-2020-16150)

  - 2.23.0 より前の Arm Mbed TLS で問題が見つかりました。冪剰余のサイドチャネルにより、安全なエンクレーブで使用される RSA 秘密鍵が漏洩する可能性があります。(CVE-2020-36421)

  - 2.23.0 より前の Arm Mbed TLS で問題が見つかりました。サイドチャネルにより、mbedtls_ecp_check_pub_priv、mbedtls_pk_parse_key、mbedtls_pk_parse_keyfile、mbedtls_ecp_mul、mbedtls_ecp_mul_restartable に関連する ECC 秘密鍵の回復が可能になります。(CVE-2020-36422)

  - 2.23.0 より前の Arm Mbed TLS で問題が見つかりました。特定の Lucky 13 対策がハードウェアアクセラレータのケースを適切に考慮していないため、リモート攻撃者が平文を復元する可能性があります。
    (CVE-2020-36423)

  - 2.24.0 より前の Arm Mbed TLS で問題が見つかりました。攻撃者は、ベースブラインディング/アンブラインディング値の生成に対するサイドチャネル攻撃を介して、秘密鍵 (RSA または静的ディフィー・ヘルマン用) を回復できます。
    (CVE-2020-36424)

  - 2.24.0 より前の Arm Mbed TLS で問題が見つかりました。CRL を介して証明書を失効させるかどうかを決定する際に、revocationDate のチェックを誤って使用します。状況によっては、攻撃者がローカルクロックを変更することでこれを悪用する可能性があります。(CVE-2020-36425)

  - 2.24.0 以前の Arm Mbed TLS で問題が検出されました。 mbedtls_x509_crl_parse_der に (1 バイトの) バッファオーバーリードがあります。(CVE-2020-36426)

  - 2.25.0 より前 (および 2.16.9 LTS より前と 2.7.18 LTS より前) の Mbed TLS に問題が発見されました。mbedtls_mpi_exp_mod によって実行される計算は制限されていません。したがって、過剰に大きなパラメーターを指定すると、Diffie-Hellman キーペアを生成する際にサービス拒否が発生する可能性があります。(CVE-2020-36475)

  - 2.24.0 より前 (および 2.16.8 LTS より前と 2.7.17 LTS より前) の Mbed TLS に問題が発見されました。未使用のアプリケーションデータをメモリから消去するための mbedtls_ssl_read の平文バッファのゼロ化が欠如しています。
    (CVE-2020-36476)

  - 2.25.0 より前 (および 2.16.9 LTS より前と 2.7.18 LTS より前) の Mbed TLS に問題が発見されました。NULL アルゴリズムパラメーターエントリは REAL(サイズゼロ) の配列と同一に見えるため、証明書は有効と見なされます。ただし、パラメーターがまったく一致しない場合、証明書は無効と見なされます。(CVE-2020-36478)

  - Trusted Firmware Mbed TLS 2.24.0 で、base64 PEM ファイルデコードのサイドチャネル脆弱性により、システムレベル (管理者) の攻撃者が、隔離された環境で実行されているソフトウェアの制御チャネル攻撃およびサイドチャネル攻撃を介して、秘密 RSA キーに関する情報を取得する可能性があります。これは、特に Intel SGX のシングルステップになる可能性があります。(CVE-2021-24119)

  - 入力パスワードの長さが 0 のとき、mbedtls_pkcs12_derivation 関数の mbed TLS 3.0.0 以前に、サービス拒否の脆弱性が存在します。(CVE-2021-43666)

  - mbedtls_ssl_set_session() の失敗によって実証されているように、 3.0.1 より前の Mbed TLS には、特定のメモリ不足状態で二重解放があります。(CVE-2021-44732)

  - 2.28.1 より前の Mbed TLS および 3.2.0 より前の 3.x で問題が見つかりました。一部の構成では、認証されていない攻撃者が無効な ClientHello メッセージを DTLS サーバーに送信し、最大 255 バイトのヒープベースのバッファオーバーリードを引き起こす可能性があります。これにより、サーバーのクラッシュや、エラー応答に基づく情報漏洩が発生する可能性があります。影響を受ける構成では、MBEDTLS_SSL_DTLS_CLIENT_PORT_REUSE が有効化されており、MBEDTLS_SSL_IN_CONTENT_LEN が以下の構成に依存するしきい値未満です。mbedtls_ssl_cookie_check を使用する場合は 258 バイト、カスタムクッキーチェック関数で最大 571 バイト。
    (CVE-2022-35409)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

- 2.16.3に更新してください

  - 決定論的ECDSAのサイドチャネル攻撃（CVE-2019-16910）

リリースノート：
https://tls.mbed.org/tech-updates/releases/mbedtls-2.16.3-and-2.7.12-r eleased

セキュリティアドバイザリ：
https://tls.mbed.org/tech-updates/security-advisories/mbedtls-security
- advisory-2019-10

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

ID	Name	Product	Family	Published	Updated	Severity
169300	Debian dla-3249 : libmbedcrypto3 - security update	Nessus	Debian Local Security Checks	12/26/2022	1/22/2025	critical
169300	Debian DLA-3249-1：mbedtls - LTS 安全性更新	Nessus	Debian Local Security Checks	12/26/2022	1/22/2025	critical
169300	Debian DLA-3249-1：mbedtls - LTS 安全更新	Nessus	Debian Local Security Checks	12/26/2022	1/22/2025	critical
129604	Fedora 31 : mbedtls (2019-1240f0fe43)	Nessus	Fedora Local Security Checks	10/7/2019	4/19/2024	medium
169300	Debian DLA-3249-1: mbedtls - LTS セキュリティ更新	Nessus	Debian Local Security Checks	12/26/2022	1/22/2025	critical
129604	Fedora 31：mbedtls（2019-1240f0fe43）	Nessus	Fedora Local Security Checks	10/7/2019	4/19/2024	medium
129599	Fedora 30 : mbedtls (2019-07940971b2)	Nessus	Fedora Local Security Checks	10/7/2019	4/19/2024	medium
129632	Fedora 29 : mbedtls (2019-89891f3e4a)	Nessus	Fedora Local Security Checks	10/7/2019	4/19/2024	medium
129599	Fedora 30：mbedtls（2019-07940971b2）	Nessus	Fedora Local Security Checks	10/7/2019	4/19/2024	medium
129632	Fedora 29：mbedtls（2019-89891f3e4a）	Nessus	Fedora Local Security Checks	10/7/2019	4/19/2024	medium

Detections

Analytics

Plugins Search

critical

critical

critical

medium

critical

medium

medium

medium

medium

medium