Ubuntu 10.04 LTS / 12.04 LTS / 12.10 / 13.04:openssl 漏洞 (USN-1898-1)

low Nessus 插件 ID 67189

简介

远程 Ubuntu 主机缺少一个或多个与安全有关的修补程序。

描述

TLS 协议 1.2 和更早版本可在未正确混淆未加密数据的长度的情况下对压缩数据进行加密,这样允许中间人攻击者通过观察一系列猜测期间的长度差异来获取明文内容,在这些猜测中,提供的字符串可能会匹配加密的压缩流量中的未知字符串。此攻击又称为 HTTP 中的 CRIME 攻击。TLS 之外的其他协议也可能使这些攻击可行。

此更新为所有使用由 OpenSSL 库提供的 SSL 和 TLS 的程序禁用压缩。要为需要压缩以便与旧服务进行通信的程序重新启用压缩,请在该程序的环境中定义 OPENSSL_DEFAULT_ZLIB 变量。

解决方案

更新受影响的 libssl0.9.8 和/或 libssl1.0.0 程序包。

另见

https://usn.ubuntu.com/1898-1/

插件详情

严重性: Low

ID: 67189

文件名: ubuntu_USN-1898-1.nasl

版本: 1.6

类型: local

代理: unix

发布时间: 2013/7/5

最近更新时间: 2019/9/19

支持的传感器: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus

风险信息

VPR

风险因素: Medium

分数: 4.9

CVSS v2

风险因素: Low

基本分数: 2.6

时间分数: 1.9

矢量: CVSS2#AV:N/AC:H/Au:N/C:P/I:N/A:N

漏洞信息

CPE: p-cpe:/a:canonical:ubuntu_linux:libssl0.9.8, p-cpe:/a:canonical:ubuntu_linux:libssl1.0.0, cpe:/o:canonical:ubuntu_linux:10.04:-:lts, cpe:/o:canonical:ubuntu_linux:12.04:-:lts, cpe:/o:canonical:ubuntu_linux:12.10, cpe:/o:canonical:ubuntu_linux:13.04

必需的 KB 项: Host/cpu, Host/Debian/dpkg-l, Host/Ubuntu, Host/Ubuntu/release

易利用性: No known exploits are available

补丁发布日期: 2013/7/3

漏洞发布日期: 2012/9/15

参考资料信息

CVE: CVE-2012-4929

BID: 55704

USN: 1898-1