1. 主页
  2. 保安警报
  3. 保安警报 (A16-09-07)

保安警报 (A16-09-07): OpenSSL 多个漏洞


 

发布日期: 2016年 9月 23日

最後更新: 2016年 9月 27日

分享到 Facebook    分享到 X   

描述：

OpenSSL程序库存在多个漏洞。攻击者可以持续向使用受影响OpenSSL版本的服务器发送请求，耗尽服务器上的内存，造成拒绝服务。

使用OpenSSL默认配置的服务器均受影响。但是，在编译时选用"no-ocsp"选项才不会受到影响。


受影响的系统：

  • OpenSSL 1.0.1u, 1.0.2j 和 1.1.0b 之前的版本

 

影响：

成功利用这些漏洞可以拒绝服务。


建议：

有关漏洞已在OpenSSL 1.0.1u, 1.0.2j 和1.1.0b版本中修复。采用OpenSSL以加密网络通讯的系统，例如受HTTPS保护的网站或SSL-VPN网关的用户须留意有关漏洞及采取必要措施。用户应联络产品供货商以确认是否受有关问题影响。


OpenSSL Software Foundation已公布将于2016年12月31日后停止支持OpenSSL 1.0.1，不会再提供相关保安更新。用户应考虑升级至最新版本，或联络其产品供货商以取得支持。

进一步信息：

https://www.openssl.org/news/secadv/20160922.txt
https://www.openssl.org/news/secadv/20160926.txt
https://www.openssl.org/source/
https://www.hkcert.org/my_url/zh/alert/16092301
https://www.us-cert.gov/ncas/current-activity/2016/09/23/OpenSSL-Releases-Security-Updates
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-2177
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-2178
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-2179
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-2180
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-2181
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-2182
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-2183
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-6302
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-6303
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-6304
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-6305
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-6306
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-6307
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-6308
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-6309
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-7052



标签 : OpenSSL
标签