搜索

[8071] 2014-06-06_OpenSSL受到多个漏洞影响，官方呼吁尽快升级

文档创建者：s7ckTeam
浏览次数：36
最后更新：2025-01-17
2014-06-06_OpenSSL受到多个漏洞影响，官方呼吁尽快升级 O p e n S S L 受 到 多 个 漏 洞 影 响 ， 官 方 呼 吁 尽 快 升 级 b l u e   F r e e B u f   2 0 1 4 - 0 6 - 0 6 还 记 得 O p e n S S L 心 脏 滴 血 漏 洞 么 ？ 几 周 前 ， 这 一 漏 洞 的 披 露 曾 震 惊 互 联 网 ， 全 球 有 上 百 万 使 用 O p e n S S L 对 通 信 进 行 加 密 的 网 站 受 到 该 漏 洞 的 影 响 。 无 独 有 偶 ， O p e n S S L 基 金 会 最 近 又 发 布 了 一 些 更 新 ， 修 复 了 六 个 O p e n S S L 中 的 安 全 漏 洞 ， 其 中 两 个 为 严 重 级 别 。 中 间 人 攻 击 （ 中 间 人 攻 击 （ C V E - 2 0 1 4 - 0 2 2 4 ） ） O p e n S S L 中 的 第 一 个 严 重 漏 洞 （ C V E - 2 0 1 4 - 0 2 2 4 ） 被 称 为 “ C C S   注 入 ” 。 在 O p e n S S L 建 立 握 手 连 接 的 阶 段 ， 会 发 送 一 种 名 为 C h a n g e C i p h e r S p e c （ C C S ） 的 请 求 ， 在 发 送 该 请 求 时 ， 攻 击 者 可 以 通 过 中 间 人 攻 击 来 劫 持 服 务 端 与 客 户 端 之 间 的 加 密 通 信 。 利 用 该 问 题 ， 攻 击 者 能 够 解 析 加 密 的 链 接 并 将 其 解 密 ， 读 取 或 对 通 信 数 据 进 行 操 作 。 但 该 问 题 如 想 成 功 利 用 必 须 服 务 端 域 客 户 端 双 方 均 存 在 该 问 题 。 根 据 O p e n S S L 的 报 告 ， “ 攻 击 者 使 用 精 心 构 造 的 握 手 包 能 够 强 制 客 户 端 和 服 务 端 之 间 使 用 弱 密 钥 进 行 通 信 。 ” 客 户 端 的 O p e n S S L 所 有 版 本 均 受 影 响 。 只 有 1 . 0 . 1 及 以 上 版 本 是 影 响 服 务 端 的 。 尤 其 是 一 些 S S L   V P N 产 品 ， 在 该 漏 洞 前 几 乎 全 军 覆 没 。 O p e n S S L   C C S 注 入 漏 洞 是 由 一 位 来 自 日 本 L e p i d u m 安 全 公 司 的 安 全 研 究 人 员 M a s a s h i   K i k u c h i 发 现 的 。 根 据 他 的 描 述 ， 该 问 题 在 O p e n S S L 第 一 版 发 布 时 就 已 经 存 在 了 。 R e d H a t 随 后 也 在 他 们 的 安 全 博 客 中 解 释 了 该 漏 洞 的 一 些 细 节 。 无 效 的 无 效 的 D T L S 碎 片 漏 洞 （ 碎 片 漏 洞 （ C V E - 2 0 1 4 - 0 1 9 5 ） ： ） ： 向 向 O p e n S S L   D T L S 的 客 户 端 或 服 务 端 发 送 无 效 的 的 客 户 端 或 服 务 端 发 送 无 效 的 D T L S 碎 片 能 够 导 致 缓 冲 碎 片 能 够 导 致 缓 冲 区 溢 出 攻 击 。 潜 在 的 攻 击 者 能 够 利 用 该 漏 洞 在 受 影 响 的 客 户 端 或 服 务 端 中 执 行 任 意 代 码 。 区 溢 出 攻 击 。 潜 在 的 攻 击 者 能 够 利 用 该 漏 洞 在 受 影 响 的 客 户 端 或 服 务 端 中 执 行 任 意 代 码 。 D T L S 死 循 环 死 循 环 D O S 攻 击 （ 攻 击 （ C V E - 2 0 1 4 - 0 2 2 1 ） ： ） ： 远 程 攻 击 者 能 够 发 送 无 效 的 D T L S 握 手 请 求 来 使 目 标 的 处 理 逻 辑 进 入 死 循 环 状 态 并 最 终 耗 尽 资 源 而 崩 溃 。 该 攻 击 仅 影 响 将 O p e n S S L 作 为 D T L S 客 户 端 的 应 用 。 好 消 息 是 这 些   漏 洞 都 没 有 心 脏 滴 血 漏 洞 那 么 严 重 。 打 过 补 丁 的 版 本 是 0 . 9 . 8 z a ， 1 . 0 . 0 m 和 1 . 0 . 1 h ， 在 O p e n S S L 官 网 中 已 经 提 供 下 载 了 。 O p e n S S L 官 方 呼 吁 各 厂 商 尽 快 更 新 他 们 的 S S L 实 现 。 v i a : h t t p : / / t h e h a c k e r n e w s . c o m / 2 0 1 4 / 0 6 / o p e n s s l - v u l n e r a b l e - t o - m a n - i n - m i d d l e . h t m l 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理