OpenSSL 0.9.8/1.0.0/1.0.1 Handshake Encriptação fraca

CVSS Meta Pontuação TemporáriaPreço atual do exploit (≈)Nota de Interesse CTI
6.2$0-$5k0.00

Sumárioinformação

Detectou-se uma vulnerabilidade classificada como problemático em OpenSSL 0.9.8/1.0.0/1.0.1. A função afetada é desconhecida do componente Handshake Handler. A manipulação resulta em Encriptação fraca. Esta vulnerabilidade está registrada como CVE-2014-0224. Existe a possibilidade de executar o ataque de forma remota. Nenhum exploit está disponível. Recomenda-se atualizar o componente afetado.

Detalhesinformação

Detectou-se uma vulnerabilidade classificada como problemático em OpenSSL 0.9.8/1.0.0/1.0.1. A função afetada é desconhecida do componente Handshake Handler. A manipulação resulta em Encriptação fraca. Ao utilizar CWE para declarar o problema, isso direciona para CWE-310. A vulnerabilidade foi introduzida em 05/07/2005. Esta vulnerabilidade foi publicada 05/06/2014 por Masashi Kikuchi com Lepidum Co. Ltd. como secadv_20140605.txt como Aconselhamento (Site) via JPCERT/CC. O boletim está compartilhado para download em openssl.org. A publicação pública foi feita em coordenação com o fornecedor.

Esta vulnerabilidade está registrada como CVE-2014-0224. O CVE foi atribuído em 03/12/2013. Existe a possibilidade de executar o ataque de forma remota. Detalhes técnicos não estão disponíveis. Esta vulnerabilidade tem popularidade abaixo da média. Nenhum exploit está disponível. No momento, o preço atual de um exploit pode estar em torno de USD $0-$5k atualmente. O projeto MITRE ATT&CK define a técnica de ataque como T1600.

Encontra-se declarado como altamente funcional. A vulnerabilidade foi tratada como um exploit zero-day não público por pelo menos 3257 dias. Como 0-day, o preço estimado no mercado clandestino era em torno de $5k-$25k. O plugin de ID 74348 é fornecido pelo scanner de vulnerabilidades Nessus. Foi atribuído à família Red Hat Local Security Checks. Está se baseando na porta 0. O scanner de vulnerabilidade comercial Qualys é capaz de testar este problema com plugin 185081 (HP-UX Running OpenSSL Multiple Vulnerabilities (HPSBUX03046)).

A atualização para a versão 0.9.8za, 1.0.0m e 1.0.1h é capaz de corrigir esta questão. Recomenda-se atualizar o componente afetado. O comunicado contém a seguinte observação:

The fix was developed by Stephen Henson of the OpenSSL core team partly based on an original patch from KIKUCHI Masashi.

Esta vulnerabilidade também foi registrada em outros bancos de dados de vulnerabilidades: SecurityFocus (BID 67898), X-Force (93586), Secunia (SA58403), SecurityTracker (ID 1030336) e Tenable (74348).

Afetado

  • Google Chrome for Android até 34.0.1847
  • MetaSploit Framework até 4.9.3
  • McAfee Web Gateway até 7.3.2.10/7.4.2.1
  • Python on Windows 2.7.x/3.x
  • WinSCP até 5.5.3
  • Cisco ASA

Produtoinformação

Tipo

Nome

Versão

Licença

Apoio

  • end of life (old version)

Site

CPE 2.3informação

CPE 2.2informação

Vídeo

Abrir vídeo | Mostrar mais vídeos

CVSSv4informação

VulDB Vetor: 🔍
VulDB Fiabilidade: 🔍

CVSSv3informação

VulDB Meta Pontuação Base: 6.5
VulDB Meta Pontuação Temporária: 6.2

VulDB Pontuação Base: 6.5
VulDB Pontuação Temporária: 6.2
VulDB Vetor: 🔍
VulDB Fiabilidade: 🔍

CVSSv2informação

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
VectorComplexidadeAutenticaçãoConfidencialidadeIntegridadeDisponibilidade
DesbloquearDesbloquearDesbloquearDesbloquearDesbloquearDesbloquear
DesbloquearDesbloquearDesbloquearDesbloquearDesbloquearDesbloquear
DesbloquearDesbloquearDesbloquearDesbloquearDesbloquearDesbloquear

VulDB Pontuação Base: 🔍
VulDB Pontuação Temporária: 🔍
VulDB Fiabilidade: 🔍

Exploraçãoinformação

Classe: Encriptação fraca
CWE: CWE-310
CAPEC: 🔍
ATT&CK: 🔍

Físico: Não
Local: Não
Remoto: Sim

Disponibilidade: 🔍
Estado: Altamente funcional

EPSS Score: 🔍
EPSS Percentile: 🔍

Tendência de preços: 🔍
Estimativa de preço atual: 🔍

0-DayDesbloquearDesbloquearDesbloquearDesbloquear
HojeDesbloquearDesbloquearDesbloquearDesbloquear

Nessus ID: 74348
Nessus Nome: RHEL 5 / 6 : openssl097a and openssl098e (RHSA-2014:0626)
Nessus Ficheiro: 🔍
Nessus Risco: 🔍
Nessus Família: 🔍
Nessus Port: 🔍

OpenVAS ID: 66169
OpenVAS Nome: Junos SSL/TLS MITM Vulnerability
OpenVAS Ficheiro: 🔍
OpenVAS Família: 🔍

Qualys ID: 🔍
Qualys Nome: 🔍

MetaSploit ID: openssl_ccs.rb
MetaSploit Nome: OpenSSL Server-Side ChangeCipherSpec Injection Scanner
MetaSploit Ficheiro: 🔍

Inteligência de ameaçasinformação

Interesse: 🔍
Atores ativos: 🔍
Grupos APT ativos: 🔍

Contramedidasinformação

Recomendação: Atualização
Estado: 🔍

Tempo de resposta: 🔍
Tempo 0-dia: 🔍
Tempo de exposição: 🔍

Atualização: OpenSSL 0.9.8za/1.0.0m/1.0.1h

Linha do tempoinformação

05/07/2005 🔍
03/12/2013 +3073 dias 🔍
01/05/2014 +149 dias 🔍
05/06/2014 +34 dias 🔍
05/06/2014 +0 dias 🔍
05/06/2014 +0 dias 🔍
05/06/2014 +0 dias 🔍
05/06/2014 +0 dias 🔍
05/06/2014 +0 dias 🔍
05/06/2014 +0 dias 🔍
06/06/2014 +1 dias 🔍
23/04/2025 +3973 dias 🔍

Fontesinformação

Produto: openssl.org

Aconselhamento: secadv_20140605.txt
Pessoa: Masashi Kikuchi
Empresa: Lepidum Co. Ltd.
Estado: Confirmado
Confirmação: 🔍
Coordenado: 🔍

CVE: CVE-2014-0224 (🔍)
GCVE (CVE): GCVE-0-2014-0224
GCVE (VulDB): GCVE-100-13452

OVAL: 🔍
IAVM: 🔍

CERT: 🔍
X-Force: 93586 - OpenSSL cSSL/TLS clients and servers man-in-the-middle, Medium Risk
SecurityFocus: 67898
Secunia: 58403 - OpenSSL Multiple Vulnerabilities, Highly Critical
SecurityTracker: 1030336 - OpenSSL SSL/TLS Weak Key Man-in-the-Middle Attack Lets Remote Users Decrypt and Modify Data

Vários: 🔍
Veja também: 🔍

Entradainformação

Criado: 05/06/2014 15h48
Atualizado: 23/04/2025 00h27
Ajustamentos: 05/06/2014 15h48 (81), 15/02/2017 11h29 (15), 20/06/2021 15h59 (1), 20/06/2021 16h04 (2), 20/06/2021 16h09 (1), 26/01/2025 19h53 (15), 23/04/2025 00h27 (2)
Completo: 🔍
Cache ID: 216:C7B:103

Discussão

Ainda sem comentários. Idiomas: pt + es + en.

Por favor, inicie sessão para comentar.

◂ VoltarVisão GeralPróximo ▸

Want to know what is going to be exploited?

We predict KEV entries!