Összefoglaló
A Kerio Connect olyan sérülékenységét jelentették, amelyet a támadók kihasználva bizalmas adatokat szivárogtathatnak ki és eltéríthetik a felhasználó munkamenetét.
Leírás
A sérülékenységet a Secure Sockets Layer 3.0 (SSL) és Transport Layer Security 1.0 (TLS) protokollok egy tervezési hibája okozza egy inicializálási vektor (IV) kiválasztása során, szimmetrikus titkosítókészleteknél CBC módban (például AES). Ez kihasználható egy választott nyers szöveges támadáshoz (chosen-plaintext attack), mellyel a HTTPS munkamenetek visszafejthetőek Man-in-the Middle (MitM) támadásokkal.
A sérülékenységet a 8.1.0 verziónál korábbiakban jelentették.
Megoldás
Frissítsen a legújabb verzióraHivatkozások
SECUNIA 53227
CVE-2011-3389 - NVD CVE-2011-3389
Gyártói referencia: www.kerio.com
