VDB-83259 · CVE-2016-2176 · Nessus 90863

OpenSSL 1.0.1s/1.0.2g EBCDIC crypto/x509/x509_obj.c X509_NAME_oneline बफ़र ओवरफ़्लो

CVSS मेटा अस्थायी स्कोर	वर्तमान एक्सप्लॉइट मूल्य (≈)	CTI रुचि स्कोर
8.8	$0-$5k	0.00

सारांशजानकारी

एक कमजोरि जिसे आलोचनात्मक के रूप में वर्गीकृत किया गया है, OpenSSL 1.0.1s/1.0.2g में पाई गई है। प्रभावित है फ़ंक्शन X509_NAME_oneline crypto/x509/x509_obj.c फ़ाइल में EBCDIC घटक का हिस्सा है। इसमें शामिल है, जिससे बफ़र ओवरफ़्लो उत्पन्न होती है। इस भेद्यता को CVE-2016-2176 आईडी के तहत ट्रैक किया जाता है। यह हमला दूर से किया जा सकता है। कोई एक्सप्लॉइट उपलब्ध नहीं है। यह अनुशंसा की जाती है कि प्रभावित घटक को अपग्रेड किया जाए।

विवरणजानकारी

एक कमजोरि जिसे आलोचनात्मक के रूप में वर्गीकृत किया गया है, OpenSSL 1.0.1s/1.0.2g में पाई गई है। प्रभावित है फ़ंक्शन X509_NAME_oneline crypto/x509/x509_obj.c फ़ाइल में EBCDIC घटक का हिस्सा है। इसमें शामिल है, जिससे बफ़र ओवरफ़्लो उत्पन्न होती है। CWE का उपयोग करके समस्या को घोषित करने से CWE-119 प्राप्त होता है। कमजोरी प्रकाशित की गई थी 03/05/2016 द्वारा Guido Vranken के साथ Oracle के रूप में 20160503.txt के रूप में सलाह (वेबसाइट). एडवाइजरी को openssl.org पर डाउनलोड के लिए उपलब्ध कराया गया है। विक्रेता के साथ समन्वय कर सार्वजनिक रिलीज़ की गई है।

इस भेद्यता को CVE-2016-2176 आईडी के तहत ट्रैक किया जाता है। CVE असाइनमेंट 29/01/2016 को हुआ। यह हमला दूर से किया जा सकता है। तकनीकी विवरण उपलब्ध हैं. इस भेद्यता की लोकप्रियता औसत से अधिक है। कोई एक्सप्लॉइट उपलब्ध नहीं है। अब के लिए एक्सप्लॉइट की कीमत अनुमानतः USD $0-$5k हो सकती है। इस भेद्यता का कारण यह कोड का हिस्सा है:

ascii2ebcdic(ebcdic_buf, q, (num > sizeof ebcdic_buf)
             ? sizeof ebcdic_buf : num);

इसे परिभाषित नहीं के रूप में घोषित किया गया है। इस भेद्यता को कम से कम 28 दिनों तक गैर-सार्वजनिक ज़ीरो-डे एक्सप्लॉइट के रूप में संभाला गया। 0-day के समय अनुमानित अंडरग्राउंड मूल्य लगभग $25k-$100k था। वल्नरेबिलिटी स्कैनर Nessus ID 90863 वाला एक प्लगइन प्रदान करता है (Slackware 14.0 / 14.1 / current : openssl (SSA:2016-124-01)), जो लक्ष्य वातावरण में खामी की उपस्थिति का पता लगाने में मदद करता है। इसे Slackware Local Security Checks परिवार में असाइन किया गया है। प्लगइन l टाइप के कॉन्टेक्स्ट में रन हो रहा है। वाणिज्यिक वल्नरेबिलिटी स्कैनर Qualys इस समस्या का परीक्षण 124883 प्लगइन से कर सकता है (Oracle Solaris 10 Multiple Vulnerabilities (Third Party Bulletin - April 2016)).

1.0.1t , 1.0.2h संस्करण में अपग्रेड करना इस समस्या को दूर कर सकता है। आप git.openssl.org से बगफिक्स डाउनलोड कर सकते हैं। यह अनुशंसा की जाती है कि प्रभावित घटक को अपग्रेड किया जाए। इस कमजोरी को निम्नलिखित कोड लाइनों द्वारा संबोधित किया जाएगा:

if (num > (int)sizeof(ebcdic_buf))
    num = sizeof(ebcdic_buf);
ascii2ebcdic(ebcdic_buf, q, num);

कमजोरी अन्य कमजोरी डेटाबेस में भी प्रलेखित है: SecurityFocus (BID 91787) , Tenable (90863).

उत्पादजानकारी

प्रकार

Network Encryption Software

नाम

OpenSSL

संस्करण

लाइसेंस

खुला स्रोत

समर्थन

end of life (old version)

वेबसाइट

उत्पाद: https://www.openssl.org/

CPE 2.3जानकारी

CPE 2.2जानकारी

CVSSv4जानकारी

VulDB वेक्टर: 🔍
VulDB विश्वसनीयता: 🔍

CVSSv3जानकारी

VulDB मेटा बेस स्कोर: 9.0
VulDB मेटा अस्थायी स्कोर: 8.8

VulDB मूल स्कोर: 9.8
VulDB अस्थायी स्कोर: 9.4
VulDB वेक्टर: 🔍
VulDB विश्वसनीयता: 🔍

NVD मूल स्कोर: 8.2
NVD वेक्टर: 🔍

CVSSv2जानकारी

AV	AC	Au	C	I	A
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳

सदिश	जटिलता	प्रमाणीकरण	गोपनीयता	अखंडता	उपलब्धता
अनलॉक करना	अनलॉक करना	अनलॉक करना	अनलॉक करना	अनलॉक करना	अनलॉक करना
अनलॉक करना	अनलॉक करना	अनलॉक करना	अनलॉक करना	अनलॉक करना	अनलॉक करना
अनलॉक करना	अनलॉक करना	अनलॉक करना	अनलॉक करना	अनलॉक करना	अनलॉक करना

VulDB मूल स्कोर: 🔍
VulDB अस्थायी स्कोर: 🔍
VulDB विश्वसनीयता: 🔍

NVD मूल स्कोर: 🔍

शोषणजानकारी

वर्ग: बफ़र ओवरफ़्लो
CWE: CWE-119
CAPEC: 🔍
ATT&CK: 🔍

भौतिक: नहीं
स्थानीय: नहीं
दूरस्थ: हाँ

उपलब्धता: 🔍
स्थिति: परिभाषित नहीं

EPSS Score: 🔍
EPSS Percentile: 🔍

मूल्य पूर्वानुमान: 🔍
वर्तमान मूल्य अनुमान: 🔍

0-Day	अनलॉक करना	अनलॉक करना	अनलॉक करना	अनलॉक करना
आज	अनलॉक करना	अनलॉक करना	अनलॉक करना	अनलॉक करना

Nessus ID: 90863
Nessus नाम: Slackware 14.0 / 14.1 / current : openssl (SSA:2016-124-01)
Nessus Arquivo: 🔍
Nessus जोखिम: 🔍
Nessus परिवार: 🔍
Nessus Context: 🔍

OpenVAS ID: 855249
OpenVAS नाम: OpenSSL Multiple Vulnerabilities -01 May16 (Windows)
OpenVAS Arquivo: 🔍
OpenVAS परिवार: 🔍

Qualys ID: 🔍
Qualys नाम: 🔍

खतरे की खुफियाजानकारी

रुचि: 🔍
सक्रिय अभिनेता: 🔍
सक्रिय APT समूह: 🔍

प्रतिव्यवस्थाजानकारी

सिफारिश: अपग्रेड
स्थिति: 🔍

प्रतिक्रिया समय: 🔍
0-दिवसीय समय: 🔍
उजागर समय: 🔍

अपग्रेड: OpenSSL 1.0.1t/1.0.2h
पैच: 2919516136a4227d9e6d8f2fe66ef976aaf8c561

समयरेखाजानकारी

29/01/2016 🔍
05/04/2016 +67 दिन 🔍
03/05/2016 +28 दिन 🔍
03/05/2016 +0 दिन 🔍
04/05/2016 +1 दिन 🔍
04/05/2016 +0 दिन 🔍
04/05/2016 +0 दिन 🔍
15/07/2016 +72 दिन 🔍
28/07/2022 +2204 दिन 🔍

स्रोतजानकारी

उत्पाद: openssl.org

सलाह: 20160503.txt
शोधकर्ता: Guido Vranken
संगठन: Oracle
स्थिति: पुष्टि की गई
पुष्टि: 🔍
समन्वित: 🔍

CVE: CVE-2016-2176 (🔍)
GCVE (CVE): GCVE-0-2016-2176
GCVE (VulDB): GCVE-100-83259

OVAL: 🔍

SecurityFocus: 91787 - Oracle July 2016 Critical Patch Update Multiple Vulnerabilities
SecurityTracker: 1035721

विविध: 🔍
यह भी देखें: 🔍

प्रविष्टिजानकारी

बनाया गया: 04/05/2016 11:37 AM
अद्यतनित: 28/07/2022 08:06 AM
परिवर्तन: 04/05/2016 11:37 AM (75), 12/11/2018 08:30 AM (20), 28/07/2022 08:06 AM (5)
पूर्ण: 🔍
Cache ID: 216::103

Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.

चर्चा

अभी तक कोई टिप्पणी नहीं भाषाएँ: hi + ne + en.

टिप्पणी करने के लिए कृपया लॉगिन करें

◂ पिछला सिंहावलोकन अगला ▸

Want to stay up to date on a daily basis?

Enable the mail alert feature now!