CVSS Score de méta-température	Exploit Prix Actuel (≈)	Score d'intérêt CTI
8.4	$0-$5k	0.00

Une vulnérabilité classée critique a été trouvée dans OpenSSL à 1.0.x (Network Encryption Software). Ceci affecte la fonction MDC2_Update du fichier crypto/mdc2/mdc2dgst.c. A cause de la manipulation avec une valeur d'entrée inconnue mène à une vulnérabilité de classe buffer overflow.

Le bug a été découvert sur 16/09/2016. La vulnerabilité a été publié en 16/09/2016 par Shi Lei avec le numéro d'identification Bug 1370146 avec bug report (Bugzilla) (confirmé). La notice d'information est disponible en téléchargement sur bugzilla.redhat.com La publication a été coordonnée avec le fabricant. Cette vulnérabilité est identifiée comme CVE-2016-6303. L'utilisation est simple. L'attaque peut être initialisée à distance. Aucune forme d'authentification est requise pour l'exploitation. Les détails technniques sont connus, mais aucun exploite n'est disponible. La raison de cette vulnérabilité est cette partie du code:

if (i + len < MDC2_BLOCK) {

Cette vulnérabilité a été classée comme 0-day non publique pendant au moins 22 jours. Le scanner de vulnérabilités Nessus propose un module ID 95917 (macOS 10.12.x < 10.12.2 Multiple Vulnerabilities), lequel aide à déterminer l'existence d'une faille dans l'environnement-cible.

Mettre à jour à la version 1.1.0 élimine cette vulnérabilité. En appliquant un correctif il est possible d'éliminer le problème. Le correctif est disponible au téléchargement sur git.openssl.org. La meilleure solution suggérée pour atténuer le problème est de mettre à jour à la dernière version. Une solution envisageable a été publiée 4 mois après la publication de la vulnérabilité. La vulnérabilité sera abordée avec les lignes de code suivantes:

if (len < MDC2_BLOCK - i) {

La vulnérabilité est aussi documentée dans la base de données Tenable (95917).

Produitinfo

Taper

• Network Encryption Software

Nom

• OpenSSL

Version

• 1.0

Licence

• open-source

Support

• end of life (old version)

CPE 2.3info

• 🔍
• 🔍
• 🔍

CPE 2.2info

• 🔍
• 🔍
• 🔍

CVSSv4info

VulDB CVSS-B Score: 🔍
VulDB CVSS-BT Score: 🔍
VulDB Vecteur: 🔍
VulDB Fiabilité: 🔍

CVSSv3info

VulDB Score méta-base: 8.5
VulDB Score de méta-température: 8.4

VulDB Note de base: 7.3
VulDB Note temporaire: 7.0
VulDB Vecteur: 🔍
VulDB Fiabilité: 🔍

NVD Note de base: 9.8
NVD Vecteur: 🔍

CVSSv2info

AV	AC	Au	C	I	A
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳

Vecteur	Complexité	Authentification	Confidentialité	Intégrité	Disponibilité
ouvrir	ouvrir	ouvrir	ouvrir	ouvrir	ouvrir
ouvrir	ouvrir	ouvrir	ouvrir	ouvrir	ouvrir
ouvrir	ouvrir	ouvrir	ouvrir	ouvrir	ouvrir

VulDB Note de base: 🔍
VulDB Note temporaire: 🔍
VulDB Fiabilité: 🔍

NVD Note de base: 🔍

Exploitinginfo

Classe: Buffer overflow
CWE: CWE-787 / CWE-119
CAPEC: 🔍
ATT&CK: 🔍

Localement: Non
Remote: Oui

Disponibilité: 🔍
Statut: Non défini

EPSS Score: 🔍
EPSS Percentile: 🔍

Prédiction de prix: 🔍
Estimation actuelle des prix: 🔍

0-Day	ouvrir	ouvrir	ouvrir	ouvrir
Aujourd'hui	ouvrir	ouvrir	ouvrir	ouvrir

Nessus ID: 95917
Nessus Nom: macOS 10.12.x < 10.12.2 Multiple Vulnerabilities
Nessus Document: 🔍
Nessus Risque: 🔍
Nessus Family: 🔍
Nessus Context: 🔍

OpenVAS ID: 801105
OpenVAS Nom: Apple Mac OS X Multiple Vulnerabilities-01 February-2017
OpenVAS Document: 🔍
OpenVAS Family: 🔍

Qualys ID: 🔍
Qualys Nom: 🔍

Renseignements sur les menacesinfo

Intérêt: 🔍
Acteurs actifs: 🔍
Groupes APT actifs: 🔍

Contre-mesuresinfo

Recommandé: Upgrade
Statut: 🔍

Temps de réaction: 🔍
Heure 0 jour: 🔍
Temps d'exposition: 🔍

Upgrade: OpenSSL 1.1.0
Patch: 55d83bf7c10c7b205fffa23fa7c3977491e56c07

Chronologieinfo

26/07/2016 🔍
24/08/2016 +29 jours 🔍
25/08/2016 +1 jours 🔍
16/09/2016 +22 jours 🔍
16/09/2016 +0 jours 🔍
16/09/2016 +0 jours 🔍
18/09/2016 +2 jours 🔍
13/12/2016 +86 jours 🔍
16/12/2016 +3 jours 🔍
19/09/2022 +2103 jours 🔍

Sourcesinfo

Produit: openssl.org

Bulletin: Bug 1370146
Chercheur: Shi Lei
Statut: Confirmé
Confirmation: 🔍
Coordonné: 🔍

CVE: CVE-2016-6303 (🔍)
OVAL: 🔍

SecurityTracker: 1036885
SecurityFocus: 92630 - SSL/TLS Protocol CVE-2016-2183 Information Disclosure Vulnerability

Voir aussi: 🔍

Entréeinfo

Établi: 18/09/2016 09:59
Mise à jour: 19/09/2022 06:51
Changements: 18/09/2016 09:59 (80), 07/07/2019 16:16 (16), 19/09/2022 06:51 (4)
Compléter: 🔍

Discussion

Might our Artificial Intelligence support you?

Check our Alexa App!