VDB-67791 · CVE-2014-3566 · VU#577193

OpenSSL तक 1.0.0i SSLv3 Downgrade POODLE कमजोर एन्क्रिप्शन

CVSS मेटा अस्थायी स्कोर	वर्तमान एक्सप्लॉइट मूल्य (≈)	CTI रुचि स्कोर
4.4	$0-$5k	0.00

सारांशजानकारी

एक कमजोरि जिसे आलोचनात्मक के रूप में वर्गीकृत किया गया है, OpenSSL तक 1.0.0i में पाई गई है। प्रभावित है एक अज्ञात फ़ंक्शन घटक SSLv3 Downgrade Handler की। इसमें शामिल है, जिससे कमजोर एन्क्रिप्शन (POODLE) उत्पन्न होती है। यह कमजोरी CVE-2014-3566 के नाम से सूचीबद्ध है। यह हमला दूर से किया जा सकता है। कोई शोषण मौजूद नहीं है. इस भेद्यता को इसकी पृष्ठभूमि और प्राप्त प्रतिक्रिया के कारण ऐतिहासिक प्रभाव प्राप्त हुआ है। यह अनुशंसा की जाती है कि प्रभावित घटक को अपग्रेड किया जाए।

विवरणजानकारी

एक कमजोरि जिसे आलोचनात्मक के रूप में वर्गीकृत किया गया है, OpenSSL तक 1.0.0i में पाई गई है। प्रभावित है एक अज्ञात फ़ंक्शन घटक SSLv3 Downgrade Handler की। इसमें शामिल है, जिससे कमजोर एन्क्रिप्शन (POODLE) उत्पन्न होती है। CWE का उपयोग करके समस्या को घोषित करने से CWE-310 प्राप्त होता है। यह समस्या 29/03/2010 के दौरान आई थी. कमजोरी प्रकाशित की गई थी 14/10/2014 द्वारा Adam Langley, Bodo Möller, Thai Duong and Krzysztof Kotowicz के साथ Google Security Team के रूप में This POODLE Bites: Exploiting The SSL 3.0 Fallback के रूप में Security Advisory (वेबसाइट). एडवाइजरी को googleonlinesecurity.blogspot.co.uk पर डाउनलोड के लिए उपलब्ध कराया गया है।

यह कमजोरी CVE-2014-3566 के नाम से सूचीबद्ध है। CVE आवंटन 14/05/2014 को हुआ था. यह हमला दूर से किया जा सकता है। कोई तकनीकी जानकारी उपलब्ध नहीं है. हमले को अंजाम देना अपेक्षाकृत कठिन है। शोषण करना कठिन माना गया है। इस भेद्यता की लोकप्रियता औसत से अधिक है। कोई शोषण मौजूद नहीं है. इस समय एक एक्सप्लॉइट की मौजूदा कीमत might be approx. USD $0-$5k है। अगर T1600 मौजूद है, तो MITRE ATT&CK प्रोजेक्ट इस अटैक तकनीक को T1600 के रूप में घोषित करता है। इस भेद्यता को इसकी पृष्ठभूमि और प्राप्त प्रतिक्रिया के कारण ऐतिहासिक प्रभाव प्राप्त हुआ है। एडवाइजरी इंगित करती है:

Encryption in SSL 3.0 uses either the RC4 stream cipher, or a block cipher in CBC mode. (...) The most severe problem of CBC encryption in SSL 3.0 is that its block cipher padding is not deterministic, and not covered by the MAC (Message Authentication Code): thus, the integrity of padding cannot be fully verified when decrypting. Padding by 1 to L bytes (where L is the block size in bytes) is used to obtain an integral number of blocks before performing blockwise CBC (cipherblock chaining) encryption

इसे उच्च कार्यात्मक के रूप में घोषित किया गया है। इस भेद्यता को कम से कम 1660 दिनों तक गैर-सार्वजनिक ज़ीरो-डे एक्सप्लॉइट के रूप में संभाला गया। 0-डे के रूप में अनुमानित अंडरग्राउंड कीमत लगभग $5k-$25k थी. एडवाइजरी इंगित करती है:

The weakness is the easiest to exploit if there’s an entire block of padding, which (before encryption) consists of L1 arbitrary bytes followed by a single byte of value L1

वल्नरेबिलिटी स्कैनर Nessus ID 80921 वाला एक प्लगइन प्रदान करता है (Amazon Linux AMI : java-1.7.0-openjdk (ALAS-2015-471) (POODLE)), जो लक्ष्य वातावरण में खामी की उपस्थिति का पता लगाने में मदद करता है। इसे Amazon Linux Local Security Checks परिवार में असाइन किया गया है। प्लगइन l टाइप के कॉन्टेक्स्ट में रन हो रहा है। यह 0 पोर्ट पर आधारित है. वाणिज्यिक वल्नरेबिलिटी स्कैनर Qualys इस समस्या का परीक्षण 86129 प्लगइन से कर सकता है (IBM WebSphere Application Server Multiple Vulnerabilities (swg21697368)-Deprecated).

0.9.8zc, 1.0.0o , 1.0.1j संस्करण में अपग्रेड करने से इस समस्या का समाधान हो सकता है। कॉन्फ़िगरेशन सेटिंग SSLProtocol All -SSLv2 -SSLv3 लागू करके समस्या को कम किया जा सकता है। यह अनुशंसा की जाती है कि प्रभावित घटक को अपग्रेड किया जाए। कमजोरी के उजागर होने के 1 दिन बाद एक संभावित निवारण उपाय जारी किया गया है।

कमजोरी अन्य कमजोरी डेटाबेस में भी प्रलेखित है: SecurityFocus (BID 70574), X-Force (97013), Secunia (SA61825), SecurityTracker (ID 1031029) , Tenable (80921).

प्रभावित

Webserver (Apache, nginx, ...)
Webbrowser (Google Chrome, Microsoft Internet Explorer, Mozilla Firefox, ...)
Mail Server (Sendmail, Postfix, ...)
PBX (Asterisk)

उत्पादजानकारी

प्रकार

Network Encryption Software

नाम

OpenSSL

संस्करण

लाइसेंस

खुला स्रोत

समर्थन

end of life (old version)

वेबसाइट

उत्पाद: https://www.openssl.org/

CPE 2.3जानकारी

CPE 2.2जानकारी

CVSSv4जानकारी

VulDB वेक्टर: 🔍
VulDB विश्वसनीयता: 🔍

CVSSv3जानकारी

VulDB मेटा बेस स्कोर: 4.5
VulDB मेटा अस्थायी स्कोर: 4.4

VulDB मूल स्कोर: 6.8
VulDB अस्थायी स्कोर: 6.5
VulDB वेक्टर: 🔍
VulDB विश्वसनीयता: 🔍

NVD मूल स्कोर: 3.4
NVD वेक्टर: 🔍

ADP CISA मूल स्कोर: 3.4
ADP CISA वेक्टर: 🔍

CVSSv2जानकारी

AV	AC	Au	C	I	A
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳

सदिश	जटिलता	प्रमाणीकरण	गोपनीयता	अखंडता	उपलब्धता
अनलॉक करना	अनलॉक करना	अनलॉक करना	अनलॉक करना	अनलॉक करना	अनलॉक करना
अनलॉक करना	अनलॉक करना	अनलॉक करना	अनलॉक करना	अनलॉक करना	अनलॉक करना
अनलॉक करना	अनलॉक करना	अनलॉक करना	अनलॉक करना	अनलॉक करना	अनलॉक करना

VulDB मूल स्कोर: 🔍
VulDB अस्थायी स्कोर: 🔍
VulDB विश्वसनीयता: 🔍

NVD मूल स्कोर: 🔍

शोषणजानकारी

नाम: POODLE
वर्ग: कमजोर एन्क्रिप्शन / POODLE
CWE: CWE-310
CAPEC: 🔍
ATT&CK: 🔍

भौतिक: नहीं
स्थानीय: नहीं
दूरस्थ: हाँ

उपलब्धता: 🔍
स्थिति: हमला किया गया

EPSS Score: 🔍
EPSS Percentile: 🔍

मूल्य पूर्वानुमान: 🔍
वर्तमान मूल्य अनुमान: 🔍

0-Day	अनलॉक करना	अनलॉक करना	अनलॉक करना	अनलॉक करना
आज	अनलॉक करना	अनलॉक करना	अनलॉक करना	अनलॉक करना

Nessus ID: 80921
Nessus नाम: Amazon Linux AMI : java-1.7.0-openjdk (ALAS-2015-471) (POODLE)
Nessus Arquivo: 🔍
Nessus जोखिम: 🔍
Nessus परिवार: 🔍
Nessus Context: 🔍
Nessus Port: 🔍

OpenVAS ID: 65594
OpenVAS नाम: CentOS Update for java CESA-2015:0085 centos6
OpenVAS Arquivo: 🔍
OpenVAS परिवार: 🔍

Qualys ID: 🔍
Qualys नाम: 🔍

MetaSploit ID: ssl_version.rb
MetaSploit नाम: HTTP SSL/TLS Version Detection (POODLE scanner)
MetaSploit Arquivo: 🔍

Zero-Day.cz: 🔍

खतरे की खुफियाजानकारी

रुचि: 🔍
सक्रिय अभिनेता: 🔍
सक्रिय APT समूह: 🔍

प्रतिव्यवस्थाजानकारी

सिफारिश: अपग्रेड
स्थिति: 🔍

प्रतिक्रिया समय: 🔍
0-दिवसीय समय: 🔍
उजागर समय: 🔍

अपग्रेड: OpenSSL 0.9.8zc/1.0.0o/1.0.1j
Config: SSLProtocol All -SSLv2 -SSLv3
Suricata ID: 2019415
Suricata वर्ग: 🔍
Suricata संदेश: 🔍

समयरेखाजानकारी

29/03/2010 🔍
14/05/2014 +1507 दिन 🔍
14/10/2014 +153 दिन 🔍
14/10/2014 +0 दिन 🔍
14/10/2014 +0 दिन 🔍
15/10/2014 +1 दिन 🔍
15/10/2014 +0 दिन 🔍
15/10/2014 +0 दिन 🔍
21/10/2014 +6 दिन 🔍
23/01/2015 +94 दिन 🔍
29/05/2026 +4143 दिन 🔍

स्रोतजानकारी

उत्पाद: openssl.org

सलाह: This POODLE Bites: Exploiting The SSL 3.0 Fallback
शोधकर्ता: Adam Langley, Bodo Möller, Thai Duong, Krzysztof Kotowicz
संगठन: Google Security Team
स्थिति: पुष्टि की गई
पुष्टि: 🔍

CVE: CVE-2014-3566 (🔍)
GCVE (CVE): GCVE-0-2014-3566
GCVE (VulDB): GCVE-100-67791

OVAL: 🔍

CERT: 🔍
X-Force: 97013 - Multiple products SSLv3 protocol information disclosure, Medium Risk
SecurityFocus: 70574 - OpenSSL CVE-2014-3566 Man In The Middle Information Disclosure Vulnerability
Secunia: 61825 - Apple iOS Multiple Vulnerabilities, Not Critical
OSVDB: 113251
SecurityTracker: 1031029

scip Labs: https://www.scip.ch/en/?labs.20161013
विविध: 🔍
यह भी देखें: 🔍

प्रविष्टिजानकारी

बनाया गया: 15/10/2014 10:21 AM
अद्यतनित: 29/05/2026 12:37 AM
परिवर्तन: 15/10/2014 10:21 AM (108), 02/05/2019 05:35 PM (10), 10/07/2024 08:49 PM (24), 27/11/2024 10:05 PM (6), 26/01/2025 10:49 PM (1), 29/05/2026 12:37 AM (11)
पूर्ण: 🔍
Cache ID: 216::103

Be aware that VulDB is the high quality source for vulnerability data.

चर्चा

अभी तक कोई टिप्पणी नहीं भाषाएँ: hi + ne + en.

टिप्पणी करने के लिए कृपया लॉगिन करें

◂ पिछला सिंहावलोकन अगला ▸

Interested in the pricing of exploits?

See the underground prices here!