OpenSSL többszörös sérülékenysége

CH azonosító

CH-11225

Angol cím

OpenSSL Multiple Vulnerabilities

Felfedezés dátuma

2014.06.04.

Súlyosság

Magas

Érintett rendszerek

OpenSSL
OpenSSL Software Foundation

Érintett verziók

OpenSSL 0.x
OpenSSL 1.x

Összefoglaló

Az OpenSSL biztonsági problémái és többszörös sérülékenysége vált ismertté, amit kihasználva a támadók hozzáférhetnek bizalmas információkhoz, bizonyos adatokat megváltoztathatnak, szolgáltatás megtagadást (DoS – Denial of Service) idézhetnek elő, és feltörhetik a sérülékeny rendszert. 

Leírás

  1. Egy hiba jelentkezik, amikor az SSL/TLS “handshakes” kezelésre kerül. Ez kihasználható a speciálisan elkészített “handshakes”-szel Man-in-the-Middle (MitM) támadás okozására.
  2. Egy hiba jelentkezik az Open SSL/DTLS kliensben, ami kihasználható a rekurzióra és összeomlára egy speciálisan készített DTLS handshake-kel.
  3. Egy hiba jelentkezik az OpenSSL DTLS végrehajtásban, amivel puffer túlcsordulás idézhető elő, speciálisan elkészített DTLS töredékekkel. Ezen sérülékenység kihasználása esetén tetszőleges kód futatható.
  4. A “do_ssl3_write()” függvény NULL mutató hivatkozás feloldása kihasználható összeomlás előidézésre. Ezen sérülékenység sikeres kihasználásához szükség van arra, hogy az “SSL_MODE_RELEASE_BUFFERS” engedélyezve legyen. Ezt a sérülékenységet az 1.x és a 1.0.0m és 1.0.1h előtti verziókból jelentették.
  5. Egy hiba van az anonymus ECHD kódkészletben, ami kihasználható arra hogy, szolgáltatás megtagadást (DoS – Denial of Service) idézzenek elő az OpenSSL kliensben.

Az #1, #3 és #5  a 0.9.8za-tól az 1.0.0m-ig , és az 1.0.1h előtti verziókból jelentették.

Megoldás

Frissítsen a legújabb verzióra