在远程主机上运行的 IBM HTTP Server 版本受到漏洞的影响。在 0.9.8s 之前的 OpenSSL、1.0.0e 之前的 OpenSSL 1.0.0、1.0.1n 之前的 OpenSSL 1.0.1 以及 1.0.2b 之前的 OpenSSL 1.0.2 中，crypto/bn/bn_gf2m.c 中的 BN_GF2m_mod_inv 函数未正确处理其中曲线超出不规范二进制多项式字段的 ECParameters 结构，这允许远程攻击者通过使用椭圆曲线算法的会话造成拒绝服务（无限循环），这一点已由支持客户端认证的服务器所遭受的攻击证实。

请注意，Nessus 尚未测试此问题，而是只依赖于应用程序自我报告的版本号。

检测

IBM HTTP Server 8.0.0.0 <= 8.0.0.11 / 8.5.0.0 <= 8.5.5.6 (533837)

medium Nessus 插件 ID 144776

未找到变更日志