OpenSSL तक 1.0.1j Certificate Fingerprint कमजोर एन्क्रिप्शन

CVSS मेटा अस्थायी स्कोरवर्तमान एक्सप्लॉइट मूल्य (≈)CTI रुचि स्कोर
5.2$0-$5k0.00

सारांशजानकारी

एक भेद्यता जिसे आलोचनात्मक के रूप में वर्गीकृत किया गया है, OpenSSL में खोजी गई है। प्रभावित तत्त्व है एक अपरिभाषित कार्य और Certificate Fingerprint Handler घटक से संबंधित है। यह परिवर्तन कमजोर एन्क्रिप्शन का कारण बनता है। इस भेद्यता को CVE-2014-8275 के रूप में ट्रेड किया जाता है। यह हमला दूर से किया जा सकता है। कोई एक्सप्लॉइट उपलब्ध नहीं है. यह अनुशंसा की जाती है कि प्रभावित घटक को अपग्रेड किया जाए।

विवरणजानकारी

एक भेद्यता जिसे आलोचनात्मक के रूप में वर्गीकृत किया गया है, OpenSSL में खोजी गई है। प्रभावित तत्त्व है एक अपरिभाषित कार्य और Certificate Fingerprint Handler घटक से संबंधित है। यह परिवर्तन कमजोर एन्क्रिप्शन का कारण बनता है। समस्या को घोषित करने के लिए CWE का उपयोग करने से CWE-310 की ओर ले जाता है। यह कमजोरी प्रकाशित हुई थी 08/01/2015 द्वारा Antti Karjalainen and Tuomo Untinen के साथ Codenomicon CROSS Project के रूप में secadv_20150108.txt के रूप में सलाह (वेबसाइट). openssl.org पर यह परामर्श डाउनलोड हेतु उपलब्ध कराया गया है। विक्रेता के साथ सार्वजनिक रिलीज़ का समन्वय किया गया है।

इस भेद्यता को CVE-2014-8275 के रूप में ट्रेड किया जाता है। CVE असाइनमेंट 12/10/2014 पर हुआ था. यह हमला दूर से किया जा सकता है। कोई तकनीकी विवरण उपलब्ध नहीं है. हमले की जटिलता उच्च स्तर की है। शोषण करना मुश्किल बताया गया है। यह भेद्यता सामान्य से कम लोकप्रिय है। कोई एक्सप्लॉइट उपलब्ध नहीं है. फिलहाल एक्सप्लॉइट की कीमत might be approx. USD $0-$5k है। यदि T1600 उपलब्ध है, तो MITRE ATT&CK प्रोजेक्ट द्वारा हमले की तकनीक को T1600 के रूप में घोषित किया जाता है। एडवाइजरी इंगित करती है:

OpenSSL accepts several non-DER-variations of certificate signature algorithm and signature encodings. OpenSSL also does not enforce a match between the signature algorithm between the signed and unsigned portions of the certificate. By modifying the contents of the signature algorithm or the encoding of the signature, it is possible to change the certificate's fingerprint. This does not allow an attacker to forge certificates, and does not affect certificate verification or OpenSSL servers/clients in any other way. It also does not affect common revocation mechanisms. Only custom applications that rely on the uniqueness of the fingerprint (e.g. certificate blacklists) may be affected.

इस भेद्यता को कम से कम 38 दिनों के लिए गैर-प्रकाशित ज़ीरो-डे एक्सप्लॉइट के रूप में माना गया था। 0-डे के रूप में इसका अनुमानित अंडरग्राउंड मूल्य लगभग $5k-$25k था. Nessus द्वारा 82783 आईडी वाला एक प्लगइन दिया गया है। इसे CentOS Local Security Checks फैमिली के अंतर्गत रखा गया है। प्लगइन l प्रकार के संदर्भ में चल रहा है। यह 0 पोर्ट पर आधारित है. वाणिज्यिक वल्नरेबिलिटी स्कैनर Qualys इस समस्या का परीक्षण 350233 प्लगइन से कर सकता है (Amazon Linux Security Advisory for openssl: ALAS-2015-469).

0.9.8zd, 1.0.0p , 1.0.1k संस्करण में अपग्रेड करने से यह समस्या सुलझ सकती है। यह अनुशंसा की जाती है कि प्रभावित घटक को अपग्रेड किया जाए। कमजोरी के खुलासे के 4 महीने बाद एक संभावित समाधान प्रकाशित हुआ है। एडवाइजरी में यह उल्लेख किया गया है:

Further analysis was conducted and fixes were developed by Stephen Henson of the OpenSSL core team.

कमज़ोरी अन्य कमज़ोरी डेटाबेस में भी प्रलेखित है: SecurityFocus (BID 71935), X-Force (99709), SecurityTracker (ID 1031513) , Tenable (82783).

उत्पादजानकारी

प्रकार

नाम

संस्करण

लाइसेंस

समर्थन

  • end of life (old version)

वेबसाइट

CPE 2.3जानकारी

CPE 2.2जानकारी

CVSSv4जानकारी

VulDB वेक्टर: 🔍
VulDB विश्वसनीयता: 🔍

CVSSv3जानकारी

VulDB मेटा बेस स्कोर: 5.9
VulDB मेटा अस्थायी स्कोर: 5.2

VulDB मूल स्कोर: 5.9
VulDB अस्थायी स्कोर: 5.2
VulDB वेक्टर: 🔍
VulDB विश्वसनीयता: 🔍

CVSSv2जानकारी

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
सदिशजटिलताप्रमाणीकरणगोपनीयताअखंडताउपलब्धता
अनलॉक करनाअनलॉक करनाअनलॉक करनाअनलॉक करनाअनलॉक करनाअनलॉक करना
अनलॉक करनाअनलॉक करनाअनलॉक करनाअनलॉक करनाअनलॉक करनाअनलॉक करना
अनलॉक करनाअनलॉक करनाअनलॉक करनाअनलॉक करनाअनलॉक करनाअनलॉक करना

VulDB मूल स्कोर: 🔍
VulDB अस्थायी स्कोर: 🔍
VulDB विश्वसनीयता: 🔍

NVD मूल स्कोर: 🔍

शोषणजानकारी

वर्ग: कमजोर एन्क्रिप्शन
CWE: CWE-310
CAPEC: 🔍
ATT&CK: 🔍

भौतिक: आंशिक रूप से
स्थानीय: हाँ
दूरस्थ: हाँ

उपलब्धता: 🔍
स्थिति: असिद्ध

EPSS Score: 🔍
EPSS Percentile: 🔍

मूल्य पूर्वानुमान: 🔍
वर्तमान मूल्य अनुमान: 🔍

0-Dayअनलॉक करनाअनलॉक करनाअनलॉक करनाअनलॉक करना
आजअनलॉक करनाअनलॉक करनाअनलॉक करनाअनलॉक करना

Nessus ID: 82783
Nessus नाम: CentOS 5 : openssl (CESA-2015:0800) (FREAK)
Nessus Arquivo: 🔍
Nessus जोखिम: 🔍
Nessus परिवार: 🔍
Nessus Context: 🔍
Nessus Port: 🔍

OpenVAS ID: 58866
OpenVAS नाम: RedHat Update for openssl RHSA-2015:0066-01
OpenVAS Arquivo: 🔍
OpenVAS परिवार: 🔍

Qualys ID: 🔍
Qualys नाम: 🔍

खतरे की खुफियाजानकारी

रुचि: 🔍
सक्रिय अभिनेता: 🔍
सक्रिय APT समूह: 🔍

प्रतिव्यवस्थाजानकारी

सिफारिश: अपग्रेड
स्थिति: 🔍

प्रतिक्रिया समय: 🔍
0-दिवसीय समय: 🔍
उजागर समय: 🔍

अपग्रेड: OpenSSL 0.9.8zd/1.0.0p/1.0.1k
पैच: github.com

समयरेखाजानकारी

12/10/2014 🔍
01/12/2014 +50 दिन 🔍
08/01/2015 +38 दिन 🔍
08/01/2015 +0 दिन 🔍
08/01/2015 +0 दिन 🔍
08/01/2015 +0 दिन 🔍
09/01/2015 +1 दिन 🔍
14/04/2015 +95 दिन 🔍
15/04/2015 +1 दिन 🔍
02/03/2022 +2512 दिन 🔍

स्रोतजानकारी

उत्पाद: openssl.org

सलाह: secadv_20150108.txt
शोधकर्ता: Antti Karjalainen, Tuomo Untinen
संगठन: Codenomicon CROSS Project
स्थिति: पुष्टि की गई
पुष्टि: 🔍
समन्वित: 🔍

CVE: CVE-2014-8275 (🔍)
GCVE (CVE): GCVE-0-2014-8275
GCVE (VulDB): GCVE-100-68520

OVAL: 🔍

X-Force: 99709 - OpenSSL fingerprints security bypass, Low Risk
SecurityFocus: 71935 - OpenSSL Certificate Fingerprints CVE-2014-8275 Local Security Bypass Vulnerability
SecurityTracker: 1031513

यह भी देखें: 🔍

प्रविष्टिजानकारी

बनाया गया: 09/01/2015 09:46 AM
अद्यतनित: 02/03/2022 12:39 AM
परिवर्तन: 09/01/2015 09:46 AM (78), 03/05/2019 09:43 AM (12), 02/03/2022 12:30 AM (4), 02/03/2022 12:39 AM (1)
पूर्ण: 🔍
Cache ID: 216::103

VulDB is the best source for vulnerability data and more expert information about this specific topic.

चर्चा

अभी तक कोई टिप्पणी नहीं भाषाएँ: hi + ne + en.

टिप्पणी करने के लिए कृपया लॉगिन करें

◂ पिछलासिंहावलोकनअगला ▸

Are you interested in using VulDB?

Download the whitepaper to learn more about our service!