Oracle GlassFish Server 多個弱點 (2015 年 4 月 CPU) (POODLE)

high Nessus Plugin ID 82902

Synopsis

遠端 Web 伺服器受到多個弱點的影響。

描述

遠端主機上執行的 GlassFish Server 版本受到多個弱點影響。

- 隨附的 cURL 和 libcurl 套件中存在一個瑕疵。
當數位簽章驗證 (CURLOPT_SSL_VERIFYPEER) 停用時,憑證 CN 和 SAN 名稱欄位驗證 (CURLOPT_SSL_VERIFYHOST) 會停用。這可讓攔截式攻擊者透過任意有效的憑證偽造 SSL 伺服器。
(CVE-2013-4545)

- 隨附的 Network Security Services (NSS) 程式庫中存在一個瑕疵,此瑕疵是因為不當剖析 X.509 憑證中的 ASN.1 值所致。這可讓攔截式攻擊者透過特製的憑證偽造 RSA 簽章。(CVE-2014-1568)

- 一個稱為 POODLE 的攔截式 (MitM) 資訊洩漏弱點。此弱點是因為在加密區塊鏈結 (CBC) 模式下,解密使用區塊加密法加密的訊息時,SSL 3.0 處理填補位元組的方式不當所致。MitM 攻擊者若能夠強制受影響的應用程式透過新建立的 SSL 3.0 連線重複傳送相同資料,即可嘗試解密所選的加密文字位元組 256 次。(CVE-2014-3566)

解決方案

升級至 2015 年 4 月 Oracle 重要修補程式更新公告中所述的 GlassFish Server 2.1.1.25 / 3.0.1.11 / 3.1.2.11 版或更新版本。

另請參閱

http://www.nessus.org/u?56618dc1

https://www.imperialviolet.org/2014/10/14/poodle.html

https://www.openssl.org/~bodo/ssl-poodle.pdf

https://tools.ietf.org/html/draft-ietf-tls-downgrade-scsv-00

Plugin 詳細資訊

嚴重性: High

ID: 82902

檔案名稱: glassfish_cpu_apr_2015.nasl

版本: 1.16

類型: remote

系列: Web Servers

已發布: 2015/4/20

已更新: 2019/11/22

風險資訊

VPR

風險因素: High

分數: 7.3

CVSS v2

風險因素: High

基本分數: 7.5

時間分數: 5.5

媒介: AV:N/AC:L/Au:N/C:P/I:P/A:P

時間媒介: E:U/RL:OF/RC:C

CVSS 評分資料來源: CVE-2014-1568

弱點資訊

CPE: cpe:/a:oracle:glassfish_server

必要的 KB 項目: www/glassfish

可輕鬆利用: No known exploits are available

修補程式發佈日期: 2015/4/14

弱點發布日期: 2013/10/3

參考資訊

CVE: CVE-2013-4545, CVE-2014-1568, CVE-2014-3566

BID: 63776, 70116, 70574

CERT: 577193, 772676