Oracle GlassFish Server 多种漏洞（2015 年 4 月 CPU）(POODLE)

high Nessus 插件 ID 82902

语言：

简介

远程 Web 服务器受到多种漏洞影响。

描述

远程主机上运行的 GlassFish Server 版本受到多种漏洞影响：

- 捆绑的 cURL 和 libcurl 程序包中存在一个缺陷。
禁用数字签名验证 (CURLOPT_SSL_VERIFYPEER) 时禁用了证书 CN 和 SAN 名称字段验证 (CURLOPT_SSL_VERIFYHOST)。这允许中间人攻击者通过任意有效证书欺骗 SSL 服务器。
(CVE-2013-4545)

- 由于未正确解析 X.509 证书中的 ASN.1 值，绑定的 Network Security Services (NSS) 库中存在一个缺陷。这允许中间人攻击者通过构建的证书欺骗 RSA 签名。(CVE-2014-1568)

- 称为 POODLE 的中间人 (MitM) 信息泄露漏洞。该漏洞是由于 SSL 3.0 解密使用密码块链接 (CBC) 模式中的块密码进行加密的消息时采用的处理填充字节的方式所引起。如果 MitM 攻击者能够强制受害的应用程序通过新创建的 SSL 3.0 连接不断发送同样的数据，就能将选中的加密文本字节在 256 次内解密。(CVE-2014-3566)