OpenSSL 1.x < 1.0.0f 多個弱點

medium Nessus Plugin ID 57460

Synopsis

遠端 web 伺服器受到多個 SSL 相關弱點影響。

描述

根據其標題,遠端 web 伺服器執行的 OpenSSL 1.x 版比 1.0.0f 舊。這些版本受到下列弱點的影響:

- 資料包傳輸層安全性 (DTLS) 實作在 CBC 模式中解密時,容易遭受純文字復原攻擊。(CVE-2011-4108)

- 存在一個與 SSLv3.0 記錄相關的錯誤,可導致未初始化的記憶體洩漏,因為程式庫未清除作為區塊密碼填補的所有位元組。(CVE-2011-4576)

- 存在一個與 RFC 3779 處理相關的錯誤,可導致拒絕服務攻擊。請注意,此功能預設為不啟用,必須在編譯時透過「enable-rfc3779」選項設定。(CVE-2011-4577)

- 存在一個與伺服器閘道密碼編譯 (SGC) 的交握重啟相關的錯誤,可導致拒絕服務攻擊。(CVE-2011-4619)

- GOST 實作中存在一個錯誤,可允許無效的 GOST 參數造成伺服器當機。
(CVE-2012-0027)

解決方案

升級至 OpenSSL 1.0.0f 或更新版本。

另請參閱

https://www.openssl.org/news/secadv/20120104.txt

https://www.openssl.org/news/changelog.html

http://www.nessus.org/u?c0f10f36

Plugin 詳細資訊

嚴重性: Medium

ID: 57460

檔案名稱: openssl_1_0_0f.nasl

版本: 1.13

類型: remote

系列: Web Servers

已發布: 2012/1/9

已更新: 2018/11/15

風險資訊

VPR

風險因素: Low

分數: 3.6

CVSS v2

風險因素: Medium

基本分數: 5

時間分數: 3.7

媒介: AV:N/AC:L/Au:N/C:P/I:N/A:N

時間媒介: E:U/RL:OF/RC:C

弱點資訊

CPE: cpe:/a:openssl:openssl

必要的 KB 項目: openssl/port

可輕鬆利用: No known exploits are available

修補程式發佈日期: 2012/1/4

弱點發布日期: 2012/1/4

參考資訊

CVE: CVE-2011-4108, CVE-2011-4576, CVE-2011-4577, CVE-2011-4619, CVE-2012-0027

BID: 51281