1. 主頁
  2. 保安警報
  3. 保安警報 (A16-05-01)

保安警報 (A16-05-01): OpenSSL 多個漏洞


 

發布日期: 2016年 5月 4日

描述：

OpenSSL程式庫存在多個漏洞。造成這些漏洞的原因包括”padding oracle”弱點，和當應用程式解析和重新將X.509證書編碼，或驗證RSA簽章的X.509證書時，可能引致記憶體損毀。如果伺服器支援AES-NI及使用了AES CBC加密法，攻擊者可利用”padding oracle”攻擊竊取部分資料或發送特製的X.509證書攻擊漏洞。


受影響的系統：

  • OpenSSL 1.0.1t, 1.0.2h之前的版本
  • 操作系統、網頁伺服器、虛擬私人網絡閘道或採用受影響的OpenSSL程式庫的裝置

 

影響：

成功利用這些漏洞可以執行遠端程式碼、服務受阻斷或洩漏資訊。


建議：

有關漏洞已在OpenSSL 1.0.1t 和1.0.2h版本中修復。採用OpenSSL以加密網絡通訊的系統，例如受HTTPS保護的網站或SSL-VPN閘道的用戶須留意有關漏洞及採取必要措施。用戶應聯絡產品供應商以確認是否受有關問題影響。


OpenSSL Software Foundation已公布將於2016年12月31日後停止支援OpenSSL 1.0.1，不會再提供相關保安更新。而OpenSSL 0.9.8及1.0.0已於2015年12月31日停止支援。用戶應考慮升級至最新版本，或聯絡其產品供應商以取得支援。

進一步資訊：

https://www.openssl.org/news/secadv/20160503.txt
https://www.openssl.org/news/openssl-1.0.1-notes.html
https://www.openssl.org/news/openssl-1.0.2-notes.html
https://www.us-cert.gov/ncas/current-activity/2016/05/03/OpenSSL-Releases-Security-Advisory
https://www.hkcert.org/my_url/zh/alert/16050401
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-2105
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-2106
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-2107
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-2108
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-2109
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-2176



標籤 : OpenSSL
標籤