OpenSSL حتى 0.9.8/1.0.1/1.0.2h/1.1.0 Alert ssl/s3_pkt.c ssl3_read_bytes Death Alert الحرمان من الخدمة

CVSS الدرجة المؤقتة للميتاسعر الإكسبلويت الحالي (≈)درجة اهتمام CTI
7.1$0-$5k0.00

الملخصالمعلومات

تم التعرف على ثغرة أمنية في OpenSSL حتى 0.9.8/1.0.1/1.0.2h/1.1.0. وقد تم تصنيفها على أنها مشكلة صعبة الحل. الثغرة الأمنية أثرت على الدالة ssl3_read_bytes من الملف ssl/s3_pkt.c من العنصر Alert Handler. عند التلاعب ينتج الحرمان من الخدمة (Death Alert). الثغرة الأمنية هذه تم تسميتهاCVE-2016-8610. يمكن شن الهجوم هذا عن بعد. بالإضافة إلى ذلك، يتوفر استغلال. يُفضل ترقية المكون المصاب.

التفاصيلالمعلومات

تم التعرف على ثغرة أمنية في OpenSSL حتى 0.9.8/1.0.1/1.0.2h/1.1.0. وقد تم تصنيفها على أنها مشكلة صعبة الحل. الثغرة الأمنية أثرت على الدالة ssl3_read_bytes من الملف ssl/s3_pkt.c من العنصر Alert Handler. عند التلاعب ينتج الحرمان من الخدمة (Death Alert). تعريف الـ سي دبليو أي للثغرة الأمنية هو CWE-399. تم إصدار التحذير حول الضعف 24/10/2016 عن طريق Shi Lei بالتعاون مع Qihoo 360 برقم CVE-2016-8610: SSL Death Alert: OpenSSL SSL/TLS SSL3_AL_WARNING undefined alert Remote DoS كـ Mailinglist Post (oss-sec). يمكن قراءة الاستشارة من هنا seclists.org. تم نشر هذه البيانات بموافقة الشركة المالكة. إذا وُجد محتوى، فإن الإفصاح يتضمن:

We reported this issue to OpenSSL team in early September, and they told us they won't treat it as a security issue, but they allowed us to discuss it with whomever we wish.

الثغرة الأمنية هذه تم تسميتهاCVE-2016-8610. تم تخصيص CVE في 12/10/2016. يمكن شن الهجوم هذا عن بعد. تتوفر معلومات تقنية. مستوى شهرة هذه الثغرة يتجاوز المتوسط. بالإضافة إلى ذلك، يتوفر استغلال. تم إتاحة الاستغلال للجمهور وقد يتم استغلاله.

في حال وجود إثبات المفهوم، يتم الإعلان عنه كـ إثبات المفهوم. يمكن تحميل الإكسبلويت من هناseclists.org. كسعر لثغرة يوم الصفر، قُدّر السعر في السوق السوداء بحوالي $5k-$25k. يوفر ماسح الثغرات Nessus إضافة بالمعرف 97054. تم إسناده إلى عائلة Fedora Local Security Checks. يعمل البرنامج الإضافي في بيئة النوع l. خدمة فحص الشبكات كويلس يمكنها الكشف عن هذه الثغرة الأمنية بواسطة ملحق175949 (Debian Security Update for openssl (DSA 3773-1)).

يُفضل ترقية المكون المصاب. يحتوي التنبيه على الملاحظة التالية:

BTW, the issue has been fixed in the official release on September 22nd.

إذا كانت قائمة قواعد بيانات المصدر تحتوي على عناصر، فإن الثغرة موثقة أيضًا في قواعد بيانات ثغرات أخرى: SecurityFocus (BID 93841), SecurityTracker (ID 1037084) , Tenable (97054).

منتجالمعلومات

النوع

الأسم

النسخة

الرخصة

الدعم

  • end of life (old version)

موقع إلكتروني

CPE 2.3المعلومات

CPE 2.2المعلومات

CVSSv4المعلومات

VulDB متجه: 🔍
VulDB الاعتمادية: 🔍

CVSSv3المعلومات

VulDB الدرجة الأساسية للميتا: 7.5
VulDB الدرجة المؤقتة للميتا: 7.1

VulDB الدرجة الأساسية: 7.5
VulDB الدرجة المؤقتة: 6.7
VulDB متجه: 🔍
VulDB الاعتمادية: 🔍

NVD الدرجة الأساسية: 7.5
NVD متجه: 🔍

CVSSv2المعلومات

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
متجهالتعقيدتوثيقالسريةالأمانةالتوفر
افتحافتحافتحافتحافتحافتح
افتحافتحافتحافتحافتحافتح
افتحافتحافتحافتحافتحافتح

VulDB الدرجة الأساسية: 🔍
VulDB الدرجة المؤقتة: 🔍
VulDB الاعتمادية: 🔍

NVD الدرجة الأساسية: 🔍

استغلالالمعلومات

الأسم: Death Alert
الفئة: الحرمان من الخدمة / Death Alert
CWE: CWE-399 / CWE-404
CAPEC: 🔍
ATT&CK: 🔍

ملموس: لا
محلي: لا
عن بُعد: نعم

التوفر: 🔍
وصول: عام
الحالة: إثبات المفهوم
المؤلف: Shi Lei
لغة البرمجة: 🔍
تحميل: 🔍

EPSS Score: 🔍
EPSS Percentile: 🔍

تقدير السعر: 🔍
تقدير السعر الحالي: 🔍

0-Dayافتحافتحافتحافتح
اليومافتحافتحافتحافتح

Nessus ID: 97054
Nessus الأسم: Fedora 25 : 1:openssl (2017-3451dbec48)
Nessus ملف: 🔍
Nessus خطر: 🔍
Nessus عائلة: 🔍
Nessus Context: 🔍

OpenVAS ID: 881932
OpenVAS الأسم: CentOS Update for openssl CESA-2017:0286 centos7
OpenVAS ملف: 🔍
OpenVAS عائلة: 🔍

Qualys ID: 🔍
Qualys الأسم: 🔍

استخبارات التهديدالمعلومات

الاهتمام: 🔍
الفاعلون النشطون: 🔍
مجموعات APT النشطة: 🔍

إجراءات مضادةالمعلومات

التوصية: ترقية
الحالة: 🔍

زمن الهجوم الفوري: 🔍
وقت تأخير الاستغلال: 🔍

تصحيح: af58be768ebb690f78530f796e92b8ae5c9a4401

الجدول الزمنيالمعلومات

22/09/2016 🔍
12/10/2016 +20 أيام 🔍
24/10/2016 +12 أيام 🔍
24/10/2016 +0 أيام 🔍
24/10/2016 +0 أيام 🔍
24/10/2016 +0 أيام 🔍
25/10/2016 +1 أيام 🔍
08/02/2017 +106 أيام 🔍
13/11/2017 +278 أيام 🔍
28/09/2022 +1780 أيام 🔍

المصادرالمعلومات

منتج: openssl.org

استشارة: CVE-2016-8610: SSL Death Alert: OpenSSL SSL/TLS SSL3_AL_WARNING undefined alert Remote DoS
باحث: Shi Lei
منظمة: Qihoo 360
الحالة: مؤكد
تأكيد: 🔍
منسق: 🔍

CVE: CVE-2016-8610 (🔍)
GCVE (CVE): GCVE-0-2016-8610
GCVE (VulDB): GCVE-100-93073

OVAL: 🔍

SecurityFocus: 93841 - OpenSSL CVE-2016-8610 Denial of Service Vulnerability
SecurityTracker: 1037084

scip Labs: https://www.scip.ch/en/?labs.20161013
متفرقات: 🔍
اقرأ أيضاً: 🔍

إدخالالمعلومات

تم الإنشاء: 25/10/2016 09:12 AM
تم التحديث: 28/09/2022 12:35 PM
التغييرات: 25/10/2016 09:12 AM (86), 17/05/2019 08:18 PM (13), 28/09/2022 12:35 PM (5)
كامل: 🔍
Cache ID: 216:2FD:103

Several companies clearly confirm that VulDB is the primary source for best vulnerability data.

مناقشة

لا توجد تعليقات بعد اللغات: ar + fa + en.

يرجى تسجيل الدخول حتى تتمكن من التعليق

التالي ▸نظرة عامة◂ السابق

Might our Artificial Intelligence support you?

Check our Alexa App!