Kerio Connect SSL/TLS sérülékenység

CH azonosító

Angol cím

Felfedezés dátuma

Súlyosság

Érintett rendszerek

Érintett verziók

Kerio Connect 8.x

Összefoglaló

A Kerio Connect olyan sérülékenységét jelentették, amelyet a támadók kihasználva bizalmas adatokat szivárogtathatnak ki és eltéríthetik a felhasználó munkamenetét.

Leírás

A sérülékenységet a Secure Sockets Layer 3.0 (SSL) és Transport Layer Security 1.0 (TLS) protokollok egy tervezési hibája okozza egy inicializálási vektor (IV) kiválasztása során, szimmetrikus titkosítókészleteknél CBC módban (például AES). Ez kihasználható egy választott nyers szöveges támadáshoz (chosen-plaintext attack), mellyel a HTTPS munkamenetek visszafejthetőek Man-in-the Middle (MitM) támadásokkal.

A sérülékenységet a 8.1.0 verziónál korábbiakban jelentették.

Megoldás

Támadás típusa

Szükséges hozzáférés

Hivatkozások

SECUNIA 53227
CVE-2011-3389 - NVD CVE-2011-3389
Gyártói referencia: www.kerio.com