Splunk Enterprise 5.0.x < 5.0.13 / 6.0.x < 6.0.9 / 6.1.x < 6.1.8 OpenSSL 弱點 (FREAK)

high Nessus Plugin ID 83992

Synopsis

遠端 Web 伺服器正在執行一個受到多個弱點影響的應用程式。

描述

根據其版本號碼,遠端 web 伺服器上主控的 Splunk Enterprise 為 5.0.13 之前的 5.0.x 版、6.0.9 之前的 6.0.x 版或 6.1.4 之前的 6.1.x 版。因此受到下列與所含 OpenSSL 程式庫相關的弱點影響:

- 存在一個稱為 FREAK (RSA-EXPORT 金鑰的分解攻擊) 的安全性功能繞過弱點,這是因為支援具有小於或等於 512 位元金鑰的弱式 EXPORT_RSA 加密套件所致。攔截式攻擊者可降級 SSL/TLS 連線以使用 EXPORT_RSA 加密套件,該套件可在短時間內遭到分解,進而允許攻擊者攔截和解密流量。(CVE-2015-0204)

- DTLSv1_listen() 函式中存在一個瑕疵,這是因為 SSL 物件中的狀態被從一個叫用保留到下一個叫用所致。遠端攻擊者可加以惡意利用,透過特製的 DTLS 流量造成分割錯誤,進而引發拒絕服務。
(CVE-2015-0207)

- rsa_item_verify() 函式中存在一個瑕疵,這是因為 ASN.1 簽章驗證的不當實作所致。
遠端攻擊者可加以惡意利用,透過使用 RSA PSS 演算法和無效參數的 ASN.1 簽章,造成 NULL 指標解除參照,進而引發拒絕服務。(CVE-2015-0208)

- d2i_ECPrivateKey() 函式中存在一個釋放後使用情況,這是因為在匯入時不當處理格式錯誤的 EC 私密金鑰檔所致。遠端攻擊者可加以惡意利用,使已經釋放的記憶體解除參照或釋放,進而引發拒絕服務或其他不明影響。(CVE-2015-0209)

- ssl3_client_hello() 函式中存在一個瑕疵,這是因為在繼續交握之前不當驗證 PRNG 種子所致,進而造成熵不足及可預測的輸出。這會讓攔截式攻擊者得以透過暴力密碼破解攻擊,破解密碼編譯保護機制,進而洩漏敏感資訊。(CVE-2015-0285)

- ASN1_TYPE_cmp() 函式中存在一個無效讀取瑕疵,這是因為不當執行布林型別的比較所致。遠端攻擊者可加以惡意利用,透過使用憑證驗證功能之端點的特製 X.509 憑證,造成無效的讀取作業,進而引發拒絕服務。
(CVE-2015-0286)

- ASN1_item_ex_d2i() 函式中存在一個瑕疵,這是因為在重複使用 ASN.1 剖析中的結構時,未能重新初始化「CHOICE」和「ADB」資料結構所致。
這會讓遠端攻擊者得以造成無效的寫入作業和記憶體損毀,進而引發拒絕服務。(CVE-2015-0287)

- X509_to_X509_REQ() 函式中存在一個 NULL 指標解除參照瑕疵,這是因為不當處理憑證金鑰所致。這會讓遠端攻擊者透過特製 X.509 憑證來造成拒絕服務。(CVE-2015-0288)

- PKCS#7 剖析程式碼中存在一個 NULL 指標解除參照瑕疵,這是因為不正確處理遺漏的外部 ContentInfo 所致。這會讓遠端攻擊者得以利用處理任意 PKCS#7 資料的應用程式並提供 ASN.1 編碼的格式錯誤資料,引發拒絕服務。(CVE-2015-0289)

- ssl3_write_bytes() 函式的「multiblock」功能中存在一個瑕疵,這是因為不當處理某些非封鎖的 I/O 案例所致。這會讓遠端攻擊者得以造成失敗的連線或分割錯誤,進而引發拒絕服務。(CVE-2015-0290)

- 處理用戶端嘗試利用無效的簽章演算法延伸模組重新交涉時,存在一個 NULL 指標解除參照瑕疵。遠端攻擊者可加以惡意利用,進而引發拒絕服務。
(CVE-2015-0291)

- EVP_DecodeUpdate() 函式中存在整數反向溢位情況,這是因解碼時不當驗證以 base64 編碼的輸入所致。這會允許遠端攻擊者使用惡意製作的 base64 資料,造成分割錯誤或記憶體損毀,進而引發拒絕服務或可能執行任意程式碼。(CVE-2015-0292)

- 同時支援 SSLv2 並啟用匯出加密套件的伺服器中存在一個瑕疵,這是因為 SSLv2 的不當實作所致。遠端攻擊者可加以惡意利用,透過特製 CLIENT-MASTER-KEY 訊息來造成拒絕服務。(CVE-2015-0293)

- 當用戶端驗證和暫時 Diffie-Hellman 加密套件啟用時,ssl3_get_client_key_exchange() 函式中存在一個瑕疵。這會讓遠端攻擊者得以透過零長度的 ClientKeyExchange 訊息引發拒絕服務。
(CVE-2015-1787)

請注意,Nessus 並未測試這些問題,而是僅依據應用程式自我報告的版本號碼。

解決方案

升級至 Splunk Enterprise 5.0.13 / 6.0.9 / 6.1.8 或更新版本。

另請參閱

https://www.splunk.com/view/SP-CAAAN4P

https://www.openssl.org/news/secadv/20150319.txt

https://www.smacktls.com/#freak

Plugin 詳細資訊

嚴重性: High

ID: 83992

檔案名稱: splunk_618.nasl

版本: 1.17

類型: remote

系列: CGI abuses

已發布: 2015/6/4

已更新: 2021/1/19

風險資訊

VPR

風險因素: Medium

分數: 5.9

CVSS v2

風險因素: High

基本分數: 7.5

時間分數: 5.5

媒介: AV:N/AC:L/Au:N/C:P/I:P/A:P

時間媒介: E:U/RL:OF/RC:C

弱點資訊

CPE: cpe:/a:splunk:splunk

必要的 KB 項目: installed_sw/Splunk

可輕鬆利用: No exploit is required

修補程式發佈日期: 2015/5/27

弱點發布日期: 2014/5/6

參考資訊

CVE: CVE-2015-0204, CVE-2015-0207, CVE-2015-0208, CVE-2015-0209, CVE-2015-0285, CVE-2015-0286, CVE-2015-0287, CVE-2015-0288, CVE-2015-0289, CVE-2015-0290, CVE-2015-0291, CVE-2015-0292, CVE-2015-0293, CVE-2015-1787

BID: 71936, 73225, 73226, 73227, 73228, 73229, 73230, 73231, 73232, 73234, 73235, 73237, 73238, 73239

CERT: 243585