1. 主页
  2. 保安警报
  3. 保安警报 (A15-06-04)

保安警报 (A15-06-04)： OpenSSL 多个漏洞


 

发布日期: 2015年 6月 12日

  
  

描述:

OpenSSL程序库存在多个漏洞。远程攻击者可对受影响的TLS联机的Diffie-Hellman key exchange降级至512-bit出口级加密 (export-grade)从而进行中间人攻击 (称为Logjam攻击)。远程攻击者又可以透过将特制的公开密钥、数码证书请求、数码证书、PKCS#7讯息或signedData讯息发送至受影响系统来进行拒绝服务攻击。

 

受影响的系统:

  • OpenSSL 0.9.8zg, 1.0.0s, 1.0.1n, 1.0.2b 之前的版本
  • 操作系统、网页服务器、虚拟私人网络网关或采用受影响的OpenSSL链接库的装置

 

影响:

成功利用这些漏洞可以导致拒绝服务或进行中间人攻击。

 

建议:

有关漏洞已在OpenSSL 0.9.8zg, 1.0.0s, 1.0.1n 和1.0.2b版本中修复。采用OpenSSL以加密网络通讯的系统，例如受HTTPS保护的网站或SSL-VPN网关的用户须留意有关漏洞及采取必要措施。用户应联络产品供货商以确认是否受有关问题影响。

OpenSSL Software Foundation已公布将于2015年12月31日后停止支持OpenSSL 0.9.8及1.0.0，不会再提供相关保安更新。用户应考虑升级至1.0.1或1.0.2的最新版本、或联络其产品供货商以取得支持。

受影响系统的用户应遵从产品供货商的建议，立即采取行动以降低风险。

 

进一步信息:

http://openssl.org/news/secadv_20150611.txt
https://www.hkcert.org/my_url/zh/alert/15061201
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-8176
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-1788
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-1789
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-1790
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-1791
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-1792
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-4000
 



标签 : OpenSSL
标签