Érintett rendszerek
OpenSSLOpenSSL Software Foundation
Érintett verziók
OpenSSL 1.0.2
OpenSSL 1.0.1
OpenSSL 1.0.0
OpenSSL 0.9.8
OpenSSL 1.0.0d (és régebbi)
OpenSSL 0.9.8r (és régebbi)
OpenSSL 0.9.8 DTLS
OpenSSL 1.0.0 DTLS
OpenSSL 1.0.1 DTLS
Összefoglaló
Az OpenSSL sérülékenységeit javították a fejlesztők, a hibák hiasználásával a támadók többek között man-in-the-middle és végtelen ciklusos támadásokat hajthatnak végre.
Leírás
Diffie-Hellman man-in-the-middle védelem (Logjam CVE-2015-4000):
A TLS protkoll hibája elleni védelmet adott hozzá az OpenSSL fejlesztői csapata.
A TLS kliensek ezentúl visszautasítják a 768 bitesnél rövidebb DH paramétereket alkalmazó kézfogásokat.
Frissítsen az alábbi verziókra:
OpenSSL 1.0.2b
OpenSSL 1.0.1n
OpenSSL ECParameters sérülékenység (Hibás formátumú ECParameters okozza a végtelen ciklust CVE-2015-1788):
Az ECParameters szerkezet feldolgozása során az OpenSSL egy végtelen ciklusba kezd, ha a megadott görbe egy speciálisan formázott bináris polinom mező fölötti értékeket vesz fel.
Ez felhasználható olyan rendszer szolgáltatásának megtagadására, amely a nyilvános kulcsokat, tanúsítványokat és tanúsítvány kérelmeket dolgoz fel. Ebbe beletartoznak a TLS kliensek és a TLS szerverek engedélyezett klienshitelesítéssel.
Frissítsen az alábbi verziókra:
OpenSSL 1.0.2b
OpenSSL 1.0.1n
OpenSSL 1.0.0s
OpenSSL 0.9.8zg
OpenSSL X509_cmp_time sérülékenység (CVE-2015-1789):
Kihasználható out-of-bounds olvasás a X509_cmp_time-ban.
Az X509_cmp_time nem megfelelően ellenőrzi az ASN1_TIME string hosszát, és néhány byte-os out-of-bounds olvasást hajthat végre. Továbbá az X509_cmp_time tetszőleges számú másodperc töredéket fogad el a time string-ben.
A támadó ezt felhasználhatja olyan hamis tanúsítványok és a CRL-ek létrehozására, amelyek szegmentációs hibát okoznak és a szolgáltatás megtagadását idézhetik elő. A sérülékenységben érintettek a CRL-eket ellenőrző TLS kliensek és olyan TLS kliensek és a szerverek, amelyeknél az ügyfél hitelesítés engedélyezve van.
Frissítsen az alábbi verziókra:
OpenSSL 1.0.2b
OpenSSL 1.0.1n
OpenSSL 1.0.0s
OpenSSL 0.9.8zg
OpenSSL PKCS7 sérülékenység (CVE-2015-1790):
Az PKCS#7-et kezelő alkalmazások összeomolhatnak, ha hiányzik az EnvelopedContent.
A PKCS#7 típust elemző kód (parsing code) hibásan kezeli a hiányzó EnvelopedContent-et. A támadók szándékosan helytelenül formázott ASN.1 kódolású PKCS#7 blokkal a NULL pointer hivatkozás feloldását érhetik el.
A sérülékenységben olyan alkalmazások érintettek, amelyek PKCS#7 adatot dekódolnak vagy elemeznek.
Frissítsen az alábbi verziókra:
OpenSSL 1.0.2b
OpenSSL 1.0.1n
OpenSSL 1.0.0s
OpenSSL 0.9.8zg
CMS végetelen ciklusos hibája (CVE-2015-1792):
A CMS kód végtelen ciklusba léphet a signedData üzenet ellenőrzésekor, ha ismeretlen hash függvényt talál (OID).
Ez a sérülékenység bármely rendszer összeomlását eredményezheti, amely CMS kóddal ellenőrzi a signedData üzeneteket.
Frissítsen az alábbi verziókra:
OpenSSL 1.0.2b
OpenSSL 1.0.1n
OpenSSL 1.0.0s
OpenSSL 0.9.8zg
Hibás erőforráskezelés (CVE-2015-1791):
http://tech.cert-hungary.hu/vulnerabilities/CH-12303
DTLS adatpufferelés sérülékenység (CVE-2014-8176):
Mostani OpenSSL verziókat nem érintő probléma (Javítva 2014 június).
Amikor egy DTLS peer adatokat fogad a ChangeCipherSpec és Finished üzenetek között, az adat pufferelése szegmentációs hibát vagy súlyosabb esetben memória korrupciót okozhat.
Frissítsen az alábbi verziókra:
OpenSSL DTLS 0.9.8za
OpenSSL DTLS 1.0.0m
OpenSSL DTLS 1.0.1h
Megoldás
Frissítsen a legújabb verzióraTámadás típusa
Authentication Issues (Hitelesítés)Buffer Errors
Crypthographical (Titkosítás)
Deny of service (Szolgáltatás megtagadás)
Information disclosure (Információ/adat szivárgás)
Input Validation
Manipulation of data
Race condition (Versenyhelyzet)
Resource Management Errors
Hatás
Loss of availability (Elérhetőség elvesztése)Loss of confidentiality (Bizalmasság elvesztése)
Loss of integrity (Sértetlenség elvesztése)
Szükséges hozzáférés
Remote/Network (Távoli/hálózat)Hivatkozások
CVE-2015-4000 - NVD CVE-2015-4000
CVE-2015-1788 - NVD CVE-2015-1788
CVE-2015-1789 - NVD CVE-2015-1789
CVE-2015-1790 - NVD CVE-2015-1790
CVE-2015-1791 - NVD CVE-2015-1791
CVE-2015-1792 - NVD CVE-2015-1792
CVE-2014-8176 - NVD CVE-2014-8176
Gyártói referencia: www.openssl.org