OpenSSL 1.x < 1.0.0f 多种漏洞

medium Nessus 插件 ID 57460

简介

远程 Web 服务器受到多种 SSL 相关漏洞的影响。

描述

根据其标题,远程 Web 服务器正在运行早于 1.0.0f 的 OpenSSL 1.x 版本。这些版本受到以下漏洞的影响:

- 在 CBC 模式下解密时,数据报传输层安全 (DTLS) 实现容易遭受明文恢复攻击。(CVE-2011-4108)

- 存在关于 SSLv3.0 记录的错误,可能会导致披露未初始化的内存,原因是库未清除所有用作块密码填充的字节。(CVE-2011-4576)

- 存在关于 RFC 3779 处理的错误,可能允许拒绝服务攻击。请注意,默认情况下未启用此功能,必须在编译时通过“enable-rfc3779”选项进行配置。(CVE-2011-4577)

- 存在关于服务器网关加密 (SGC) 的握手重启的错误,可能允许拒绝服务攻击。(CVE-2011-4619)

- GOST 实现中存在一个错误,可允许无效 GOST 参数使服务器崩溃。
(CVE-2012-0027)

解决方案

升级到 OpenSSL 1.0.0f 或更高版本。

另见

https://www.openssl.org/news/secadv/20120104.txt

https://www.openssl.org/news/changelog.html

http://www.nessus.org/u?c0f10f36

插件详情

严重性: Medium

ID: 57460

文件名: openssl_1_0_0f.nasl

版本: 1.13

类型: remote

系列: Web Servers

发布时间: 2012/1/9

最近更新时间: 2018/11/15

风险信息

VPR

风险因素: Low

分数: 3.6

CVSS v2

风险因素: Medium

基本分数: 5

时间分数: 3.7

矢量: AV:N/AC:L/Au:N/C:P/I:N/A:N

时间矢量: E:U/RL:OF/RC:C

漏洞信息

CPE: cpe:/a:openssl:openssl

必需的 KB 项: openssl/port

易利用性: No known exploits are available

补丁发布日期: 2012/1/4

漏洞发布日期: 2012/1/4

参考资料信息

CVE: CVE-2011-4108, CVE-2011-4576, CVE-2011-4577, CVE-2011-4619, CVE-2012-0027

BID: 51281