远程主机似乎正在运行低于 Fix Pack 8.5.5.3 的 IBM WebSphere Application Server 8.5。因此，它受到以下漏洞的影响：

- 椭圆曲线数字签名算法实现中存在一个缺陷，允许恶意进程恢复 ECDSA 临时信息。
 （CVE-2014-0076、PI19700）

- 记录没有赋值的 Cookie 时，“mod_log_config”中存在一个拒绝服务缺陷。远程攻击者可使用特别构建的请求来导致程序崩溃。（CVE-2014-0098、PI13028）

- 具有反向代理组件的 Web 型 IBM 安全访问管理器中存在一个拒绝服务缺陷。
 这可能引起远程攻击者使用特别构建的 TLS 流量，导致系统上的应用程序处于无响应状态。（CVE-2014-0963、PI17025）

- 处理 SOAP 响应时存在一个信息泄露缺陷。这可能导致远程攻击者访问潜在敏感信息。
 （CVE-2014-0965、PI11434）

- 存在一个信息泄露缺陷。远程攻击者可使用特别构建的 URL 访问潜在敏感信息。
 （CVE-2014-3022、PI09594）

- “addFileRegistryAccount”Virtual Member Manager SPI Admin Task 中存在一个缺陷，该缺陷可创建错误的帐户。这可允许远程攻击者绕过安全检查。（CVE-2014-3070、PI16765）

- 存在一个不明信息泄露漏洞。这可允许远程攻击者通过访问获得敏感信息。（CVE-2014-3083、PI17768）

- “share/classes/sun/security/rsa/RSACore.java”类中存在一个与“RSA 伪装”相关的信息泄露缺陷，在使用私钥和测量时间性差异的操作期间会造成该缺陷。这可允许远程攻击者获得关于使用的密钥的信息。(CVE-2014-4244)

- “share/classes/sun/security/util/KeyUtil.java”类中的“validateDHPublicKey”函数中存在一个缺陷，验证 Diffie-Hellman 公钥参数期间会触发该缺陷。这可允许远程攻击者恢复密钥。(CVE-2014-4263)

- Load Balancer for IPv4 Dispatcher 组件中存在一个缺陷。这可允许远程攻击者导致 Load Balancer 崩溃。（CVE-2014-4764、PI21189）

- 安装功能时 Liberty Repository 中存在一个缺陷。这可允许经过认证的远程攻击者安装并执行任意代码。
 （CVE-2014-4767、PI21284）

根据其标题，远程 Web 服务器运行的 OpenSSL 1.0.1 版本低于 1.0.1g。因此，据报告 OpenSSL 库可能受以下漏洞的影响：

  - 存在与椭圆曲线数字签名算法 (ECDSA) 实现相关的错误，可通过“FLUSH+RELOAD”缓存边信道攻击导致泄露临时信息。(CVE-2014-0076)

  - 存在与处理 TLS 心跳信息扩展相关的越界读取错误，也称为“Heartbleed 缺陷”，可允许攻击者获取敏感信息，例如主密钥材料、次密钥材料和其他受保护的内容。
    (CVE-2014-0160)

安装的 VMware Workstation 10.x 版本低于 10.0.2。
因此据报告，它受到 OpenSSL 库中以下漏洞的影响：

- 存在与椭圆曲线数字签名算法 (ECDSA) 实现相关的错误，可通过“FLUSH+RELOAD”缓存边信道攻击导致泄露临时信息。(CVE-2014-0076)

- 存在与处理 TLS 心跳信息扩展相关的越界读取错误，也称为“Heartbleed 缺陷”，可允许攻击者获取敏感信息，例如主密钥资料、次密钥资料和其他受保护的内容。
 (CVE-2014-0160)

a. OpenSSL 第三方库中的信息泄露漏洞

OpenSSL 库已更新到版本 openssl-1.0.1g，解决了多种安全问题。
 通用漏洞和暴露计划 (cve.mitre.org) 已为这些问题分配了名称 CVE-2014-0076 和 CVE-2014-0160。

CVE-2014-0160 称为 Heartbleed 问题。参考部分中可能有关于此问题的更多信息。

要修复有已更新版本或修补程序的产品的问题，请执行以下步骤：

* 部署 VMware 产品更新或产品修补程序
 * 按照产品特定的文档替换证书
 * 按照产品特定的文档重置密码

第 4 部分列出了产品特定的安装说明和证书管理文档参考。

远程主机上安装的 VMware Horizon Workspace 版本为低于 1.8.1 的 1.8.x 版本。因此据报告，它受到 OpenSSL 库中以下漏洞的影响：

- 存在与椭圆曲线数字签名算法 (ECDSA) 实现相关的错误，可通过“FLUSH+RELOAD”缓存边信道攻击导致泄露临时信息。(CVE-2014-0076)

- 存在与处理 TLS 心跳信息扩展相关的越界读取错误，也称为“Heartbleed 缺陷”，可允许攻击者获取敏感信息，例如主密钥资料、次密钥资料和其他受保护的内容。
 (CVE-2014-0160)

根据其标题，远程 Web 服务器运行的 OpenSSL 1.0.0 版本低于 1.0.0m。因此，据报告 OpenSSL 库可能受以下漏洞的影响：

  - “ssl3_read_bytes”函数中存在错误，可能造成数据注入其他会话或导致拒绝服务攻击。请注意，仅在启用了“SSL_MODE_RELEASE_BUFFERS”后才能利用此问题。(CVE-2010-5298)

  - 存在与椭圆曲线数字签名算法 (ECDSA) 实现相关的错误，可通过“FLUSH+RELOAD”缓存边信道攻击导致泄露临时信息。(CVE-2014-0076)

  - 存在涉及无效的 DTLS 碎片处理的缓冲区溢出错误，可能导致执行任意代码。请注意，此问题仅在 OpenSSL 被用作 DTLS 客户端或服务器时存在影响。(CVE-2014-0195)

  - “do_ssl3_write”函数中存在错误，可能会造成取消引用空指针，从而导致拒绝服务攻击。请注意，仅在启用了“SSL_MODE_RELEASE_BUFFERS”后才能利用此问题。(CVE-2014-0198)

  - 存在涉及 DTLS 握手处理的错误，可能导致拒绝服务攻击。请注意，此问题仅在 OpenSSL 被用作 DTLS 客户端时存在影响。
    (CVE-2014-0221)

  - 存在不明错误，可能允许攻击者使用弱密钥材料进行简化的中间人攻击。
    (CVE-2014-0224)

  - 存在涉及匿名 ECDH 加密套件的不明错误，可能导致拒绝服务攻击。请注意，此问题仅影响 OpenSSL TLS 客户端。(CVE-2014-3470)

  - 由于在解码 base 64 编码输入时验证不当，在 EVP_DecodeUpdate() 函数中存在整数下溢情况。这会允许远程攻击者使用恶意构建的 base64 数据引起分段错误或内存损坏，导致拒绝服务或可能执行任意代码。(CVE-2015-0292)

远程主机正在运行的 Mac OS X 10.7 或 10.8 版本未应用安全更新 2014-004。此更新包含若干针对以下组件的安全相关补丁：

- CoreGraphics
 - Intel Graphics Driver
 - IOAcceleratorFamily
 - IOHIDFamily
 - IOKit
 - Libnotify
 - OpenSSL
 - QT Media Foundation

请注意，如果成功利用最严重的问题则可能导致执行任意代码。

远程 Cisco 设备正在运行受捆绑 OpenSSL 库中的多种漏洞影响的 NX-OS 软件：

-“ssl3_read_bytes”函数中存在错误，可能造成数据注入其他会话或导致拒绝服务攻击。请注意，仅在启用了“SSL_MODE_RELEASE_BUFFERS”后才能利用此问题。(CVE-2010-5298)

- 存在与椭圆曲线数字签名算法 (ECDSA) 实现相关的错误，可通过“FLUSH+RELOAD”缓存边信道攻击导致泄露临时信息。(CVE-2014-0076)

- 存在涉及无效的 DTLS 碎片处理的缓冲区溢出错误，可能导致执行任意代码。请注意，此问题仅在 OpenSSL 被用作 DTLS 客户端或服务器时存在影响。(CVE-2014-0195)

-“do_ssl3_write”函数中存在错误，可能会造成取消引用空指针，从而导致拒绝服务攻击。请注意，仅在启用了“SSL_MODE_RELEASE_BUFFERS”后才能利用此问题。(CVE-2014-0198)

- 存在涉及 DTLS 握手处理的错误，可能导致拒绝服务攻击。请注意，此问题仅在 OpenSSL 被用作 DTLS 客户端时存在影响。
 (CVE-2014-0221)

- 存在不明错误，可能允许攻击者使用弱密钥材料进行简化的中间人攻击。
 (CVE-2014-0224)

- 存在涉及匿名 ECDH 加密套件的不明错误，可能导致拒绝服务攻击。请注意，此问题仅影响 OpenSSL TLS 客户端。(CVE-2014-3470)

- 由于在解码 base 64 编码输入时验证不当，在 EVP_DecodeUpdate() 函数中存在整数下溢情况。这会允许远程攻击者使用恶意构建的 base64 数据引起分段错误或内存损坏，导致拒绝服务或可能执行任意代码。(CVE-2015-0292)

根据 OpenSSL 服务在不正确的 SSL/TLS 握手阶段对两个连续“ChangeCipherSpec”消息的响应，在远程主机上的 OpenSSL 服务易受中间人 (MiTM) 攻击。

该漏洞可能通过告诉服务在密钥材料交换前开始加密通信允许 MiTM 攻击者解密或伪造 SSL 信息，这可能导致使用可预测的密钥保护未来流量。

已知 OpenSSL 1.0.1 容易受影响。OpenSSL 0.9.8 和 1.0.0 暂时未受影响，不过预防起见 OpenSSL 团队建议使用这些旧版本的用户进行升级。此插件检测并报告所有可能受影响的 OpenSSL 版本。

请注意，Nessus 仅针对 SSL/TLS MiTM 漏洞 (CVE-2014-0224) 进行了测试。但是，Nessus 已推断出远程主机上的 OpenSSL 服务同样受到六个额外漏洞的影响，此六个漏洞已披露在 2014 年 6 月 5 日的 OpenSSL 安全公告上：

-“ssl3_read_bytes”函数中存在错误，允许数据注入其他会话或导致拒绝服务攻击。请注意，仅在启用了“SSL_MODE_RELEASE_BUFFERS”后才能利用此问题。(CVE-2010-5298)

- 存在与椭圆曲线数字签名算法 (ECDSA) 的实现相关的错误，该错误允许通过“FLUSH+RELOAD”缓存边信道攻击泄露临时信息。(CVE-2014-0076)

- 存在涉及无效的 DTLS 碎片处理的缓冲区溢出错误，允许执行任意代码或导致拒绝服务攻击。
 请注意此问题只当 OpenSSL 被用作 DTLS 客户端或服务器时存在影响。(CVE-2014-0195)

-“do_ssl3_write”函数中存在错误，允许取消引用空指针，可能导致拒绝服务攻击。请注意，仅在启用了“SSL_MODE_RELEASE_BUFFERS”后才能利用此问题。(CVE-2014-0198)

- 存在涉及 DTLS 握手处理的错误，可能导致拒绝服务攻击。请注意此问题只当 OpenSSL 被用作 DTLS 客户端时存在影响。
 (CVE-2014-0221)

-“dtls1_get_message_fragment”函数中存在涉及匿名 ECDH 加密套件的错误。这可能导致拒绝服务攻击。请注意，此问题仅影响 OpenSSL TLS 客户端。(CVE-2014-3470)

OpenSSL 不为这些漏洞发布单独的修补程序，而是在一个新版本里将这些漏洞一起修复。请注意，安装修补程序后需要重新启动服务或主机，服务才会不受影响。

远程主机正在运行受到多种漏洞影响的 McAfee Web Gateway (MWG) 版本，造成这些漏洞的原因是 OpenSSL 库中的缺陷：

-“ssl3_read_bytes”函数中存在错误，可能造成数据注入其他会话或导致拒绝服务攻击。请注意，仅在启用了“SSL_MODE_RELEASE_BUFFERS”后才能利用此问题。(CVE-2010-5298)

- 存在与椭圆曲线数字签名算法 (ECDSA) 实现相关的错误，可通过“FLUSH+RELOAD”缓存边信道攻击导致泄露临时信息。(CVE-2014-0076)

- 存在涉及无效的 DTLS 碎片处理的缓冲区溢出错误，可能导致执行任意代码。请注意，此问题仅在 OpenSSL 被用作 DTLS 客户端或服务器时存在影响。(CVE-2014-0195)

-“do_ssl3_write”函数中存在错误，可能会造成取消引用空指针，从而导致拒绝服务攻击。请注意，仅在启用了“SSL_MODE_RELEASE_BUFFERS”后才能利用此问题。(CVE-2014-0198)

- 存在涉及 DTLS 握手处理的错误，可能导致拒绝服务攻击。请注意，此问题仅在 OpenSSL 被用作 DTLS 客户端时存在影响。
 (CVE-2014-0221)

- 存在不明错误，可能允许攻击者使用弱密钥材料进行简化的中间人攻击。
 (CVE-2014-0224)

- 存在涉及匿名 ECDH 加密套件的不明错误，可能导致拒绝服务攻击。请注意，此问题仅影响 OpenSSL TLS 客户端。(CVE-2014-3470)

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
77438	IBM WebSphere Application Server 8.5 < Fix Pack 8.5.5.3 多种漏洞	Nessus	Web Servers	2014/8/29	2019/11/25	medium
73404	OpenSSL 1.0.1 < 1.0.1g 多个漏洞 (Heartbleed)	Nessus	Web Servers	2014/4/8	2023/8/21	high
73673	VMware Workstation 10.x < 10.0.2 OpenSSL 库多种漏洞 (VMSA-2014-0004) (Linux) (Heartbleed)	Nessus	General	2014/4/21	2023/4/25	high
73851	VMSA-2014-0004：VMware 产品更新解决了 OpenSSL 安全漏洞。	Nessus	VMware ESX Local Security Checks	2014/5/3	2022/5/5	high
73896	VMware Horizon Workspace 1.8 < 1.8.1 OpenSSL 库多种漏洞 (VMSA-2014-0004) (Heartbleed)	Nessus	Misc.	2014/5/6	2023/4/25	high
73403	OpenSSL 1.0.0 < 1.0.0m 多个漏洞	Nessus	Web Servers	2014/4/8	2023/8/21	high
77749	Mac OS X 多种漏洞（安全更新 2014-004）	Nessus	MacOS X Local Security Checks	2014/9/18	2018/7/14	critical
88991	Cisco NX-OS OpenSSL 多种漏洞	Nessus	CISCO	2016/2/26	2019/11/19	high
74326	OpenSSL“ChangeCipherSpec”MiTM 潜在漏洞	Nessus	Misc.	2014/6/5	2020/6/12	medium
76146	McAfee Web Gateway 多种 OpenSSL 漏洞	Nessus	Misc.	2014/6/19	2019/11/26	medium

检测

插件搜索

medium

high

high

high

high

high

critical

high

medium

medium