OpenSSL 0.9.8/1.0.0/1.0.1 Handshake schwache Verschlüsselung

CVSS Meta Temp ScoreAktueller Exploitpreis (≈)CTI Interest Score
6.2$0-$5k0.00

Zusammenfassunginfo

Eine Schwachstelle wurde in OpenSSL 0.9.8/1.0.0/1.0.1 entdeckt. Sie wurde als problematisch eingestuft. Betroffen ist eine unbekannte Verarbeitung der Komponente Handshake Handler. Die Bearbeitung verursacht schwache Verschlüsselung. Die Identifikation der Schwachstelle wird mit CVE-2014-0224 vorgenommen. Es ist möglich, den Angriff aus der Ferne durchzuführen. Es existiert kein Exploit. Ein Upgrade der betroffenen Komponente wird empfohlen.

Detailsinfo

Es wurde eine kritische Schwachstelle in OpenSSL 0.9.8/1.0.0/1.0.1 (Network Encryption Software) ausgemacht. Es geht dabei um ein unbekannter Teil der Komponente Handshake Handler. Durch Beeinflussen mit einer unbekannten Eingabe kann eine schwache Verschlüsselung-Schwachstelle ausgenutzt werden. Im Rahmen von CWE wurde eine Klassifizierung als CWE-310 vorgenommen. Mit Auswirkungen muss man rechnen für Vertraulichkeit und Integrität.

Eingeführt wurde der Fehler am 05.07.2005. Die Schwachstelle wurde am 05.06.2014 durch Masashi Kikuchi von Lepidum Co. Ltd. als secadv_20140605.txt in Form eines bestätigten Advisories (Website) via JPCERT/CC publik gemacht. Das Advisory kann von openssl.org heruntergeladen werden. Die Veröffentlichung geschah dabei in Koordination mit dem Hersteller. Heise hält fest: "Das durch Heartbleed sprunghaft gestiegene Interesse am OpenSSL-Projekt scheint sich bemerkbar zu machen. Mit neuen Versionen der Bibliothek schließen die Entwickler gleich sieben Lücken auf einmal." Die Verwundbarkeit wird seit dem 03.12.2013 unter CVE-2014-0224 geführt. Der Angriff kann über das Netzwerk erfolgen. Zur Ausnutzung ist keine spezifische Authentisierung erforderlich. Es sind weder technische Details noch ein Exploit zur Schwachstelle bekannt. Das MITRE ATT&CK Projekt deklariert die Angriffstechnik als T1600.

Er wird als hoch funktional gehandelt. Insgesamt wurde die Schwachstelle mindestens 3257 Tage als nicht öffentlicher Zero-Day gehandelt. Während dieser Zeit erzielte er wohl etwa $5k-$25k auf dem Schwarzmarkt. Für den Vulnerability Scanner Nessus wurde am 06.06.2014 ein Plugin mit der ID 74348 (RHEL 5 / 6 : openssl097a and openssl098e (RHSA-2014:0626)) herausgegeben, womit die Existenz der Schwachstelle geprüft werden kann. Es wird der Family Red Hat Local Security Checks zugeordnet. Der kommerzielle Vulnerability Scanner Qualys bietet das Plugin 185081 (HP-UX Running OpenSSL Multiple Vulnerabilities (HPSBUX03046)) zur Prüfung der Schwachstelle an.

Ein Upgrade auf die Version 0.9.8za, 1.0.0m oder 1.0.1h vermag dieses Problem zu beheben. Das Erscheinen einer Gegenmassnahme geschah direkt nach der Veröffentlichung der Schwachstelle. Die Entwickler haben sofort reagiert. Das Advisory stellt fest:

The fix was developed by Stephen Henson of the OpenSSL core team partly based on an original patch from KIKUCHI Masashi.

Unter anderem wird der Fehler auch in den Datenbanken von X-Force (93586), Tenable (74348), SecurityFocus (BID 67898†), Secunia (SA58403†) und SecurityTracker (ID 1030336†) dokumentiert. Weiterführende Informationen auf Deutsch finden sich auf heise.de. Weitere Informationen werden unter ccsinjection.lepidum.co.jp bereitgestellt. Die Einträge VDB-13457, VDB-13456, VDB-13455 und VDB-13454 sind sehr ähnlich. Once again VulDB remains the best source for vulnerability data.

Betroffen

  • Google Chrome for Android bis 34.0.1847
  • MetaSploit Framework bis 4.9.3
  • McAfee Web Gateway bis 7.3.2.10/7.4.2.1
  • Python on Windows 2.7.x/3.x
  • WinSCP bis 5.5.3
  • Cisco ASA

Produktinfo

Typ

Name

Version

Lizenz

Support

  • end of life (old version)

Webseite

CPE 2.3info

CPE 2.2info

Video

Öffne Video | Zeige mehr Videos

CVSSv4info

VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv3info

VulDB Meta Base Score: 6.5
VulDB Meta Temp Score: 6.2

VulDB Base Score: 6.5
VulDB Temp Score: 6.2
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv2info

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
VektorKomplexitätAuthentisierungVertraulichkeitIntegritätVerfügbarkeit
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten

VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍

Exploitinginfo

Klasse: Schwache Verschlüsselung
CWE: CWE-310
CAPEC: 🔍
ATT&CK: 🔍

Physisch: Nein
Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔍
Status: Hoch funktional

EPSS Score: 🔍
EPSS Percentile: 🔍

Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍

0-Dayfreischaltenfreischaltenfreischaltenfreischalten
Heutefreischaltenfreischaltenfreischaltenfreischalten

Nessus ID: 74348
Nessus Name: RHEL 5 / 6 : openssl097a and openssl098e (RHSA-2014:0626)
Nessus Datei: 🔍
Nessus Risiko: 🔍
Nessus Family: 🔍
Nessus Port: 🔍

OpenVAS ID: 66169
OpenVAS Name: Junos SSL/TLS MITM Vulnerability
OpenVAS Datei: 🔍
OpenVAS Family: 🔍

Qualys ID: 🔍
Qualys Name: 🔍

MetaSploit ID: openssl_ccs.rb
MetaSploit Name: OpenSSL Server-Side ChangeCipherSpec Injection Scanner
MetaSploit Datei: 🔍

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: Upgrade
Status: 🔍

Reaktionszeit: 🔍
0-Day Time: 🔍
Exposure Time: 🔍

Upgrade: OpenSSL 0.9.8za/1.0.0m/1.0.1h

Timelineinfo

05.07.2005 🔍
03.12.2013 +3073 Tage 🔍
01.05.2014 +149 Tage 🔍
05.06.2014 +34 Tage 🔍
05.06.2014 +0 Tage 🔍
05.06.2014 +0 Tage 🔍
05.06.2014 +0 Tage 🔍
05.06.2014 +0 Tage 🔍
05.06.2014 +0 Tage 🔍
05.06.2014 +0 Tage 🔍
06.06.2014 +1 Tage 🔍
23.04.2025 +3973 Tage 🔍

Quelleninfo

Produkt: openssl.org

Advisory: secadv_20140605.txt
Person: Masashi Kikuchi
Firma: Lepidum Co. Ltd.
Status: Bestätigt
Bestätigung: 🔍
Koordiniert: 🔍

CVE: CVE-2014-0224 (🔍)
GCVE (CVE): GCVE-0-2014-0224
GCVE (VulDB): GCVE-100-13452

OVAL: 🔍
IAVM: 🔍

CERT: 🔍
X-Force: 93586 - OpenSSL cSSL/TLS clients and servers man-in-the-middle, Medium Risk
SecurityFocus: 67898
Secunia: 58403 - OpenSSL Multiple Vulnerabilities, Highly Critical
SecurityTracker: 1030336 - OpenSSL SSL/TLS Weak Key Man-in-the-Middle Attack Lets Remote Users Decrypt and Modify Data

Heise: 2216707
Diverses: 🔍
Siehe auch: 🔍

Eintraginfo

Erstellt: 05.06.2014 15:48
Aktualisierung: 23.04.2025 00:27
Anpassungen: 05.06.2014 15:48 (81), 15.02.2017 11:29 (15), 20.06.2021 15:59 (1), 20.06.2021 16:04 (2), 20.06.2021 16:09 (1), 26.01.2025 19:53 (15), 23.04.2025 00:27 (2)
Komplett: 🔍
Cache ID: 216::103

Once again VulDB remains the best source for vulnerability data.

Diskussion

Bisher keine Kommentare. Sprachen: de + en.

Bitte loggen Sie sich ein, um kommentieren zu können.

◂ ZurückÜbersichtWeiter ▸

Do you know our Splunk app?

Download it now for free!