| CVSS Meta Temp Score | Aktueller Exploitpreis (≈) | CTI Interest Score |
|---|---|---|
| 5.1 | $0-$5k | 0.00 |
Zusammenfassung
Es wurde eine Schwachstelle in OpenSSL 0.9.8/1.0.0/1.0.1 gefunden. Sie wurde als problematisch eingestuft. Betroffen davon ist ein unbekannter Prozess der Komponente DTLS Handshake Handler. Dank der Manipulation mit unbekannten Daten kann eine Denial of Service-Schwachstelle ausgenutzt werden. Eine eindeutige Identifikation der Schwachstelle wird mit CVE-2014-0221 vorgenommen. Es gibt keinen verfügbaren Exploit. Die Aktualisierung der betroffenen Komponente wird empfohlen.
Details
In OpenSSL 0.9.8/1.0.0/1.0.1 (Network Encryption Software) wurde eine problematische Schwachstelle ausgemacht. Dabei geht es um ein unbekannter Codeteil der Komponente DTLS Handshake Handler. Dank der Manipulation mit einer unbekannten Eingabe kann eine Denial of Service-Schwachstelle ausgenutzt werden. CWE definiert das Problem als CWE-399. Auswirkungen hat dies auf die Verfügbarkeit.
Am 05.07.2005 wurde der Fehler eingeführt. Die Schwachstelle wurde am 05.06.2014 durch Imre Rad von SEARCH-LAB Ltd. als secadv_20140605.txt in Form eines bestätigten Advisories (Website) öffentlich gemacht. Bereitgestellt wird das Advisory unter openssl.org. Die Veröffentlichung passierte hierbei in Koordination mit dem Projektteam. Heise hält fest: "Das durch Heartbleed sprunghaft gestiegene Interesse am OpenSSL-Projekt scheint sich bemerkbar zu machen. Mit neuen Versionen der Bibliothek schließen die Entwickler gleich sieben Lücken auf einmal." Die Verwundbarkeit wird seit dem 03.12.2013 als CVE-2014-0221 geführt. Der Angriff kann über das Netzwerk angegangen werden. Um eine Ausnutzung durchzusetzen, muss keine spezifische Authentisierung umgesetzt werden. Technische Details oder ein Exploit zur Schwachstelle sind nicht verfügbar.
Mindestens 3257 Tage galt die Schwachstelle als nicht öffentlicher Zero-Day. Während dieser Zeit erzielte er wohl etwa $5k-$25k auf dem Schwarzmarkt. Für den Vulnerability Scanner Nessus wurde am 06.06.2014 ein Plugin mit der ID 74352 (SuSE 11.3 Security Update : OpenSSL (SAT Patch Number 9326)) herausgegeben, womit die Existenz der Schwachstelle geprüft werden kann. Es wird der Family SuSE Local Security Checks zugeordnet und im Kontext l ausgeführt. Der kommerzielle Vulnerability Scanner Qualys bietet das Plugin 185081 (HP-UX Running OpenSSL Multiple Vulnerabilities (HPSBUX03046)) zur Prüfung der Schwachstelle an.
Ein Aktualisieren auf die Version 0.9.8za, 1.0.0m oder 1.0.1h vermag dieses Problem zu lösen. Das Erscheinen einer Gegenmassnahme geschah direkt nach der Veröffentlichung der Schwachstelle. Die Entwickler haben demnach sofort gehandelt. Das Advisory stellt fest:
The fix was developed by Stephen Henson of the OpenSSL core team.Unter anderem wird der Fehler auch in den Datenbanken von X-Force (93587), Tenable (74352), SecurityFocus (BID 67899†), Secunia (SA58403†) und SecurityTracker (ID 1030337†) dokumentiert. Das Nachrichtenportal Heise veröffentlichte ebenfalls einen Artikel hierzu. Zusätzliche Informationen finden sich unter isc.sans.edu. Die Schwachstellen VDB-13457, VDB-13456, VDB-13455 und VDB-13454 sind ähnlich. If you want to get the best quality for vulnerability data then you always have to consider VulDB.
Betroffen
- Google Chrome for Android bis 34.0.1847
- MetaSploit Framework bis 4.9.3
Produkt
Typ
Name
Version
Lizenz
Support
- end of life (old version)
Webseite
- Produkt: https://www.openssl.org/
CPE 2.3
CPE 2.2
Video
CVSSv4
VulDB Vector: 🔍VulDB Zuverlässigkeit: 🔍
CVSSv3
VulDB Meta Base Score: 5.3VulDB Meta Temp Score: 5.1
VulDB Base Score: 5.3
VulDB Temp Score: 5.1
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍
CVSSv2
| AV | AC | Au | C | I | A |
|---|---|---|---|---|---|
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| Vektor | Komplexität | Authentisierung | Vertraulichkeit | Integrität | Verfügbarkeit |
|---|---|---|---|---|---|
| freischalten | freischalten | freischalten | freischalten | freischalten | freischalten |
| freischalten | freischalten | freischalten | freischalten | freischalten | freischalten |
| freischalten | freischalten | freischalten | freischalten | freischalten | freischalten |
VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍
NVD Base Score: 🔍
Exploiting
Klasse: Denial of ServiceCWE: CWE-399 / CWE-404
CAPEC: 🔍
ATT&CK: 🔍
Physisch: Nein
Lokal: Nein
Remote: Ja
Verfügbarkeit: 🔍
Status: Nicht definiert
EPSS Score: 🔍
EPSS Percentile: 🔍
Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍
| 0-Day | freischalten | freischalten | freischalten | freischalten |
|---|---|---|---|---|
| Heute | freischalten | freischalten | freischalten | freischalten |
Nessus ID: 74352
Nessus Name: SuSE 11.3 Security Update : OpenSSL (SAT Patch Number 9326)
Nessus Datei: 🔍
Nessus Risiko: 🔍
Nessus Family: 🔍
Nessus Context: 🔍
Nessus Port: 🔍
OpenVAS ID: 902957
OpenVAS Name: SuSE Update for update openSUSE-SU-2014:0765-1 (update)
OpenVAS Datei: 🔍
OpenVAS Family: 🔍
Qualys ID: 🔍
Qualys Name: 🔍
Threat Intelligence
Interesse: 🔍Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍
Gegenmassnahmen
Empfehlung: UpgradeStatus: 🔍
Reaktionszeit: 🔍
0-Day Time: 🔍
Exposure Time: 🔍
Upgrade: OpenSSL 0.9.8za/1.0.0m/1.0.1h
Timeline
05.07.2005 🔍03.12.2013 🔍
09.05.2014 🔍
05.06.2014 🔍
05.06.2014 🔍
05.06.2014 🔍
05.06.2014 🔍
05.06.2014 🔍
05.06.2014 🔍
05.06.2014 🔍
06.06.2014 🔍
20.06.2021 🔍
Quellen
Produkt: openssl.orgAdvisory: secadv_20140605.txt
Person: Imre Rad
Firma: SEARCH-LAB Ltd.
Status: Bestätigt
Bestätigung: 🔍
Koordiniert: 🔍
CVE: CVE-2014-0221 (🔍)
GCVE (CVE): GCVE-0-2014-0221
GCVE (VulDB): GCVE-100-13453
OVAL: 🔍
IAVM: 🔍
X-Force: 93587 - OpenSSL DTLS denial of service, Medium Risk
SecurityFocus: 67899 - OpenSSL CVE-2014-0224 Man in the Middle Security Bypass Vulnerability
Secunia: 58403 - OpenSSL Multiple Vulnerabilities, Highly Critical
SecurityTracker: 1030337
Heise: 2216707
Diverses: 🔍
Siehe auch: 🔍
Eintrag
Erstellt: 05.06.2014 15:48Aktualisierung: 20.06.2021 16:17
Anpassungen: 05.06.2014 15:48 (99), 03.05.2019 10:43 (2), 20.06.2021 16:17 (3)
Komplett: 🔍
Cache ID: 216::103
If you want to get the best quality for vulnerability data then you always have to consider VulDB.
Bisher keine Kommentare. Sprachen: de + en.
Bitte loggen Sie sich ein, um kommentieren zu können.