1. 主頁
  2. 保安警報
  3. 保安警報 (A15-06-04)

保安警報 (A15-06-04)： OpenSSL 多個漏洞


 

發布日期: 2015年 6月 12日

  
  

描述：

OpenSSL程式庫存在多個漏洞。遠端攻擊者可對受影響的TLS連線的Diffie-Hellman key exchange降級至512-bit出口級加密 (export-grade)從而進行中間人攻擊 (稱為Logjam攻擊)。遠端攻擊者又可以透過將特製的公開密鑰、數碼證書請求、數碼證書、PKCS#7訊息或signedData訊息發送至受影響系統來進行拒絕服務攻擊。

 

受影響的系統：

  • OpenSSL 0.9.8zg, 1.0.0s, 1.0.1n, 1.0.2b 之前的版本
  • 操作系統、網頁伺服器、虛擬私人網絡閘道或採用受影響的OpenSSL程式庫的裝置

 

影響：

成功利用這些漏洞可以導致拒絕服務或進行中間人攻擊。

 

建議：

有關漏洞已在OpenSSL 0.9.8zg, 1.0.0s, 1.0.1n 和1.0.2b版本中修復。採用OpenSSL以加密網絡通訊的系統，例如受HTTPS保護的網站或SSL-VPN閘道的用戶須留意有關漏洞及採取必要措施。用戶應聯絡產品供應商以確認是否受有關問題影響。

OpenSSL Software Foundation已公布將於2015年12月31日後停止支援OpenSSL 0.9.8及1.0.0，不會再提供相關保安更新。用戶應考慮升級至1.0.1或1.0.2的最新版本、或聯絡其產品供應商以取得支援。

受影響系統的用戶應遵從產品供應商的建議，立即採取行動以降低風險。

 

進一步資訊：

http://openssl.org/news/secadv_20150611.txt
https://www.hkcert.org/my_url/zh/alert/15061201
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-8176
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-1788
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-1789
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-1790
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-1791
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-1792
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-4000
 



標籤 : OpenSSL
標籤