OpenSSL 1.0.1j SSLv3 s23_srvr.c ssl23_get_client_hello ClientHello negazione del servizio
| CVSS Punteggio meta temporaneo | Prezzo attuale dell'exploit (≈) | Punteggio di interesse CTI |
|---|---|---|
| 6.4 | $0-$5k | 0.00 |
Riassunto
È stata scoperta una vulnerabilità classificata come problematico in OpenSSL 1.0.1j. Si considera coinvolta una funzione sconosciuta nel file s23_srvr.c nel componente SSLv3 Handler. L’alterazione nell’ambito di ClientHello causa negazione del servizio. CVE-2014-3569 è identificato come punto debole. L'attacco può avvenire nella rete. Nessun exploit disponibile. Si raccomanda di procedere con l’aggiornamento del componente interessato.
Dettagli
Una vulnerabilità di livello critico è stata rilevata in OpenSSL 1.0.1j (Network Encryption Software). Interessato da questa vulnerabilità è la funzione ssl23_get_client_hello del file s23_srvr.c del componente SSLv3 Handler. Mediante la manipolazione come parte di ClientHello se causa una vulnerabilità di classe negazione del servizio. Questo ha effetti su la disponibilità.
La vulnerabilità è stata pubblicata in data 08/01/2015 da Frank Schmirler con identificazione secadv_20150108.txt con un avis (Website) (confermato). L'advisory è scaricabile da openssl.org. La pubblicazione è avvenuta in collaborazione con il produttore. Questa vulnerabilità è identificata come CVE-2014-3569. Risulta di facile utilizzo. L'attacco può essere lanciato dalla rete. L'utilizzo non richiede alcuna forma di autentificazione. Sono disponibili dettagli tecnici, ma nessun metodo di utilizzo.
Per almeno 70 giorni, questa vulnerabilità è stata classificata come 0-day exploit. È disponibile un plugin per lo scanner Nessus, numero ID 83526 (Apache Tomcat 7.0.x < 7.0.60 Multiple Vulnerabilities (FREAK)), che può aiutare a determinare l'esistenza della criticità nel sistema analizzato.
L'aggiornamento alla versione 0.9.8zd, 1.0.0p o 1.0.1k elimina questa vulnerabilità. Una possibile soluzione è stata pubblicata 4 mesi dopo la pubblicazione della vulnerabilità.
La vulnerabilità è documentata anche nel database X-Force (99706), Tenable (83526), SecurityFocus (BID 71934†) e SecurityTracker (ID 1031513†). If you want to get the best quality for vulnerability data then you always have to consider VulDB.
Prodotto
Genere
Nome
Versione
Licenza
Supporto
- end of life (old version)
Sito web
- Prodotto: https://www.openssl.org/
CPE 2.3
CPE 2.2
CVSSv4
VulDB Vettore: 🔍VulDB Affidabilità: 🔍
CVSSv3
VulDB Punteggio meta-base: 7.3VulDB Punteggio meta temporaneo: 6.4
VulDB Punteggio di base: 7.3
VulDB Punteggio temporaneo: 6.4
VulDB Vettore: 🔍
VulDB Affidabilità: 🔍
CVSSv2
| AV | AC | Au | C | I | A |
|---|---|---|---|---|---|
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| Vettore | Complessità | Autenticazione | Riservatezza | Integrità | Disponibilità |
|---|---|---|---|---|---|
| Sbloccare | Sbloccare | Sbloccare | Sbloccare | Sbloccare | Sbloccare |
| Sbloccare | Sbloccare | Sbloccare | Sbloccare | Sbloccare | Sbloccare |
| Sbloccare | Sbloccare | Sbloccare | Sbloccare | Sbloccare | Sbloccare |
VulDB Punteggio di base: 🔍
VulDB Punteggio temporaneo: 🔍
VulDB Affidabilità: 🔍
NVD Punteggio di base: 🔍
Sfruttamento
Classe: Negazione del servizioCWE: CWE-476 / CWE-404
CAPEC: 🔍
ATT&CK: 🔍
Fisico: No
Locale: No
Remoto: Si
Disponibilità: 🔍
Stato: Non dimostrata
EPSS Score: 🔍
EPSS Percentile: 🔍
Previsione dei prezzi: 🔍
Preventivo attuale: 🔍
| 0-Day | Sbloccare | Sbloccare | Sbloccare | Sbloccare |
|---|---|---|---|---|
| Oggi | Sbloccare | Sbloccare | Sbloccare | Sbloccare |
Nessus ID: 83526
Nessus Nome: Apache Tomcat 7.0.x < 7.0.60 Multiple Vulnerabilities (FREAK)
Nessus File: 🔍
Nessus Rischio: 🔍
Nessus Famiglia: 🔍
Nessus Context: 🔍
OpenVAS ID: 61779
OpenVAS Nome: SuSE Update for libopenssl0_9_8 openSUSE-SU-2016:0640-1 (libopenssl0_9_8)
OpenVAS File: 🔍
OpenVAS Famiglia: 🔍
Qualys ID: 🔍
Qualys Nome: 🔍
Intelligence sulle minacce
Interesse: 🔍Attori attivi: 🔍
Gruppi APT attivi: 🔍
Contromisure
Raccomandazione: AggiornamentoStato: 🔍
Tempo di reazione: 🔍
Tempo 0 giorni: 🔍
Tempo di esposizione: 🔍
Aggiornamento: OpenSSL 0.9.8zd/1.0.0p/1.0.1k
Patch: 392fa7a952e97d82eac6958c81ed1e256e6b8ca5
Sequenza temporale
14/05/2014 🔍15/10/2014 🔍
17/10/2014 🔍
17/10/2014 🔍
24/12/2014 🔍
08/01/2015 🔍
08/01/2015 🔍
09/01/2015 🔍
07/04/2015 🔍
19/05/2015 🔍
01/03/2022 🔍
Fonti
Prodotto: openssl.orgAvis: secadv_20150108.txt
Ricercatore: Frank Schmirler
Stato: Confermato
Conferma: 🔍
Coordinato: 🔍
CVE: CVE-2014-3569 (🔍)
GCVE (CVE): GCVE-0-2014-3569
GCVE (VulDB): GCVE-100-68517
OVAL: 🔍
X-Force: 99706 - OpenSSL ssl23_get_client_hello denial of service, Medium Risk
SecurityFocus: 71934 - OpenSSL 'ssl23_get_client_hello()' Function NULL Pointer Dereference Denial of Service Vulnerability
SecurityTracker: 1031513
Vedi anche: 🔍
Voce
Data di creazione: 09/01/2015 09:45Aggiornato: 01/03/2022 23:57
Cambiamenti: 09/01/2015 09:45 (78), 03/05/2019 06:10 (12), 01/03/2022 23:57 (4)
Completa: 🔍
Cache ID: 216::103
If you want to get the best quality for vulnerability data then you always have to consider VulDB.
Ancora nessun commento. Lingue: it + ro + en.
Effettua il login per commentare.