远程 Oracle Linux 9 主机上安装的程序包受到 ELSA-2023-7879 公告中提及的多个漏洞的影响。

  - OpenSC 软件包中发现了多个内存漏洞，特别是在用户或管理员注册卡时使用 pkcs15-init 的卡注册过程中。为了利用这些缺陷，攻击者必须能够物理访问计算机系统，并使用定制的 USB 设备或智能卡来操纵对 APDU 的响应。这种操作可能会在注册期间允许泄露密钥生成、证书加载和其他卡管理操作。
    (CVE-2023-40661)

  - OpenSC 软件包中发现了一个缺陷，允许造成潜在 PIN 绕过。在进程验证令牌/卡的情况下，该缺陷可在系统传递一个空的零长度引脚时在其他进程中执行加密操作。此问题会带来安全风险，尤其是对于操作系统登录/屏幕解锁以及与计算机永久连接的小型令牌。此外，令牌可以在内部跟踪登录状态。此缺陷允许攻击者在用户不知情的情况下获得未经授权的访问、执行恶意操作或危害系统。(CVE-2023-40660)

  - 处理对称密钥加密时，MyEID 驱动程序内的 OpenSC 包中发现越界读取漏洞。利用此缺陷需要攻击者能够物理访问计算机和特制的 USB 设备或智能卡。此缺陷允许攻击者操纵 APDU 响应，并可能获得对敏感数据的未经授权的访问，从而损害系统的安全。(CVE-2023-4535)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Oracle Linux 9：opensc (ELSA-2023-7879)

medium Nessus 插件 ID 187093

版本 1.0