OpenSSL 0.9.8/1.0.0/1.0.1 ECDH ssl3_read_bytes कमजोर एन्क्रिप्शन

इतिहासअंतरसंबंधित करनाjsonxmlCTI

CVSS मेटा अस्थायी स्कोर	वर्तमान एक्सप्लॉइट मूल्य (≈)	CTI रुचि स्कोर
4.6	$0-$5k	0.00

सारांशजानकारी

एक सुरक्षा कमजोरी, जिसे समस्याग्रस्त के रूप में वर्गीकृत किया गया है, OpenSSL 0.9.8/1.0.0/1.0.1 में पाई गई है। प्रभावित होता है फ़ंक्शन ssl3_read_bytes घटक ECDH Handler का। यह हेरफेर कमजोर एन्क्रिप्शन उत्पन्न करता है। यह कमजोरी CVE-2014-3470 के नाम से सूचीबद्ध है। कोई एक्सप्लॉइट नहीं मिला है. प्रभावित घटक को अपग्रेड करने की सिफारिश की जाती है।

विवरणजानकारी

एक सुरक्षा कमजोरी, जिसे समस्याग्रस्त के रूप में वर्गीकृत किया गया है, OpenSSL 0.9.8/1.0.0/1.0.1 में पाई गई है। प्रभावित होता है फ़ंक्शन ssl3_read_bytes घटक ECDH Handler का। यह हेरफेर कमजोर एन्क्रिप्शन उत्पन्न करता है। CWE के माध्यम से समस्या घोषित करने पर CWE-310 मिलता है। यह समस्या 05/07/2005 में पेश की गई थी. इस कमजोरी को प्रकाशित किया गया था 05/06/2014 द्वारा Felix Gröbert and Ivan Fratric के साथ Google के रूप में secadv_20140605.txt के रूप में सलाह (वेबसाइट). यह सलाह openssl.org पर डाउनलोड के लिए साझा की गई है। सार्वजनिक रिलीज़ को विक्रेता के साथ समन्वित किया गया है।

यह कमजोरी CVE-2014-3470 के नाम से सूचीबद्ध है। 14/05/2014 को CVE असाइन किया गया था. टेक्निकल डिटेल्स उपलब्ध हैं. इस भेद्यता की लोकप्रियता औसत से कम है। कोई एक्सप्लॉइट नहीं मिला है. इस समय एक एक्सप्लॉइट की मौजूदा कीमत might be approx. USD $0-$5k है। अगर T1600 मौजूद है, तो MITRE ATT&CK प्रोजेक्ट इस अटैक तकनीक को T1600 के रूप में घोषित करता है।

कम से कम 3257 दिनों तक इस भेद्यता को सार्वजनिक न किए गए ज़ीरो-डे एक्सप्लॉइट के रूप में संभाला गया। 0-डे के रूप में अनुमानित अंडरग्राउंड कीमत लगभग $5k-$25k थी. Nessus वल्नरेबिलिटी स्कैनर 76345 आईडी के साथ एक प्लगइन उपलब्ध कराता है। यह Web Servers परिवार को सौंपा गया है। यह प्लगइन r टाइप के कॉन्टेक्स्ट में चल रहा है। वाणिज्यिक वल्नरेबिलिटी स्कैनर Qualys इस समस्या का परीक्षण 185081 प्लगइन से कर सकता है (HP-UX Running OpenSSL Multiple Vulnerabilities (HPSBUX03046)).

इस समस्या का समाधान 0.9.8za, 1.0.0m , 1.0.1h संस्करण में अपग्रेड करने से किया जा सकता है। प्रभावित घटक को अपग्रेड करने की सिफारिश की जाती है। परामर्श में निम्नलिखित टिप्पणी शामिल है:

The fix was developed by Stephen Henson of the OpenSSL core team.

यह कमज़ोरी अन्य कमज़ोरी डेटाबेस में भी उपलब्ध है: SecurityFocus (BID 67898), X-Force (93589), Secunia (SA58403), SecurityTracker (ID 1030338) , Tenable (76345).

प्रभावित

Google Chrome for Android तक 34.0.1847
McAfee Web Gateway तक 7.3.2.10/7.4.2.1

उत्पादजानकारी

प्रकार

Network Encryption Software

नाम

OpenSSL

संस्करण

लाइसेंस

खुला स्रोत

समर्थन

end of life (old version)

वेबसाइट

उत्पाद: https://www.openssl.org/

CPE 2.3जानकारी

CPE 2.2जानकारी

वीडियो

वीडियो खोलें | अधिक वीडियो दिखाएं

CVSSv4जानकारी

VulDB वेक्टर: 🔍
VulDB विश्वसनीयता: 🔍

CVSSv3जानकारी

VulDB मेटा बेस स्कोर: 5.3
VulDB मेटा अस्थायी स्कोर: 4.6

VulDB मूल स्कोर: 5.3
VulDB अस्थायी स्कोर: 4.6
VulDB वेक्टर: 🔍
VulDB विश्वसनीयता: 🔍

CVSSv2जानकारी

AV	AC	Au	C	I	A
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳

सदिश	जटिलता	प्रमाणीकरण	गोपनीयता	अखंडता	उपलब्धता
अनलॉक करना	अनलॉक करना	अनलॉक करना	अनलॉक करना	अनलॉक करना	अनलॉक करना
अनलॉक करना	अनलॉक करना	अनलॉक करना	अनलॉक करना	अनलॉक करना	अनलॉक करना
अनलॉक करना	अनलॉक करना	अनलॉक करना	अनलॉक करना	अनलॉक करना	अनलॉक करना

VulDB मूल स्कोर: 🔍
VulDB अस्थायी स्कोर: 🔍
VulDB विश्वसनीयता: 🔍

NVD मूल स्कोर: 🔍

शोषणजानकारी

वर्ग: कमजोर एन्क्रिप्शन
CWE: CWE-310
CAPEC: 🔍
ATT&CK: 🔍

भौतिक: नहीं
स्थानीय: नहीं
दूरस्थ: हाँ

उपलब्धता: 🔍
स्थिति: असिद्ध

EPSS Score: 🔍
EPSS Percentile: 🔍

मूल्य पूर्वानुमान: 🔍
वर्तमान मूल्य अनुमान: 🔍

0-Day	अनलॉक करना	अनलॉक करना	अनलॉक करना	अनलॉक करना
आज	अनलॉक करना	अनलॉक करना	अनलॉक करना	अनलॉक करना

Nessus ID: 76345
Nessus नाम: HP System Management Homepage < 7.2.4.1 / 7.3.3.1 OpenSSL Multiple Vulnerabilities
Nessus Arquivo: 🔍
Nessus जोखिम: 🔍
Nessus परिवार: 🔍
Nessus Context: 🔍

OpenVAS ID: 103107
OpenVAS नाम: VMSA-2014-0006: VMware product updates address OpenSSL security vulnerabilities
OpenVAS Arquivo: 🔍
OpenVAS परिवार: 🔍

Qualys ID: 🔍
Qualys नाम: 🔍

खतरे की खुफियाजानकारी

रुचि: 🔍
सक्रिय अभिनेता: 🔍
सक्रिय APT समूह: 🔍

प्रतिव्यवस्थाजानकारी

सिफारिश: अपग्रेड
स्थिति: 🔍

प्रतिक्रिया समय: 🔍
0-दिवसीय समय: 🔍
उजागर समय: 🔍

अपग्रेड: OpenSSL 0.9.8za/1.0.0m/1.0.1h

समयरेखाजानकारी

05/07/2005 🔍
14/05/2014 +3235 दिन 🔍
28/05/2014 +14 दिन 🔍
05/06/2014 +8 दिन 🔍
05/06/2014 +0 दिन 🔍
05/06/2014 +0 दिन 🔍
05/06/2014 +0 दिन 🔍
05/06/2014 +0 दिन 🔍
05/06/2014 +0 दिन 🔍
05/06/2014 +0 दिन 🔍
02/07/2014 +27 दिन 🔍
20/06/2021 +2545 दिन 🔍

स्रोतजानकारी

उत्पाद: openssl.org

सलाह: secadv_20140605.txt
शोधकर्ता: Felix Gröbert, Ivan Fratric
संगठन: Google
स्थिति: पुष्टि की गई
पुष्टि: 🔍
समन्वित: 🔍

CVE: CVE-2014-3470 (🔍)
GCVE (CVE): GCVE-0-2014-3470
GCVE (VulDB): GCVE-100-13457

OVAL: 🔍
IAVM: 🔍

X-Force: 93589 - OpenSSL ECDH ciphersuites denial of service, Medium Risk
SecurityFocus: 67898 - OpenSSL CVE-2014-3470 Denial of Service Vulnerability
Secunia: 58403 - OpenSSL Multiple Vulnerabilities, Highly Critical
SecurityTracker: 1030338

विविध: 🔍
यह भी देखें: 🔍

प्रविष्टिजानकारी

बनाया गया: 05/06/2014 03:48 PM
अद्यतनित: 20/06/2021 04:46 PM
परिवर्तन: 05/06/2014 03:48 PM (99), 03/05/2019 10:26 AM (2), 20/06/2021 04:46 PM (3)
पूर्ण: 🔍
Cache ID: 216::103

Several companies clearly confirm that VulDB is the primary source for best vulnerability data.

चर्चा

अभी तक कोई टिप्पणी नहीं भाषाएँ: hi + ne + en.

टिप्पणी करने के लिए कृपया लॉगिन करें

◂ पिछला सिंहावलोकन अगला ▸

Interested in the pricing of exploits?

See the underground prices here!