OpenSSL до 1.0.2o/1.1.0h TLS Handshake отказ в обслуживании

CVSS Meta Temp Score	Текущая цена эксплойта (≈)	Балл интереса CTI
6.3	$0-$5k	0.00

СводкаИнформация

Зафиксирована уязвимость, классифицируемая как проблематичный, в OpenSSL до 1.0.2o/1.1.0h. Вовлечена неизвестная функция компонента TLS Handshake. Манипуляция приводит к отказ в обслуживании. Эта уязвимость проходит под номером CVE-2018-0732. Атака может быть осуществлена удаленно. Эксплойт не найден. Рекомендуется применить обновление для устранения данной уязвимости.

ПодробностиИнформация

Зафиксирована уязвимость, классифицируемая как проблематичный, в OpenSSL до 1.0.2o/1.1.0h. Вовлечена неизвестная функция компонента TLS Handshake. Манипуляция приводит к отказ в обслуживании. Использование классификатора CWE для обозначения проблемы ведет к CWE-320. Уязвимость была выявлена 12.06.2018. Слабость была опубликована 12.06.2018 специалистом Guido Vranken как GIT Commit (GIT Repository). Консультацию можно прочитать на сайте git.openssl.org.

Эта уязвимость проходит под номером CVE-2018-0732. Дата назначения CVE — 30.11.2017. Атака может быть осуществлена удаленно. Техническая информация не предоставлена. Популярность этой уязвимости ниже среднего. Эксплойт не найден. На текущий момент стоимость эксплойта может быть примерно USD $0-$5k. Проект MITRE ATT&CK определяет технику атаки как T1600.001.

Это объявлено как Не определено. В статусе 0-day примерная стоимость на черном рынке была около $5k-$25k. Сканер уязвимостей Nessus содержит плагин с ID 110878. Это относится к семейству Huawei Local Security Checks. Этот плагин выполняется в контексте типа l. Коммерческий сканер уязвимостей Qualys способен проверить эту проблему с помощью плагина 157823 (Oracle Enterprise Linux Security Update for openssl (ELSA-2018-4249)).

Установка версии 1.0.2p-dev и 1.1.0i-dev позволяет решить данный вопрос. Патч можно скачать на git.openssl.org. Рекомендуется применить обновление для устранения данной уязвимости. Возможное средство устранения было опубликовано через 3 недели после раскрытия уязвимости.

Эта уязвимость также документирована в других базах данных уязвимостей: SecurityFocus (BID 104442) и Tenable (110878).

ПродуктИнформация

Тип

• Network Encryption Software

Имя

• OpenSSL

Версия

• 1.0.2
• 1.0.2a
• 1.0.2b
• 1.0.2c
• 1.0.2d
• 1.0.2e
• 1.0.2f
• 1.0.2g
• 1.0.2h
• 1.0.2i
• 1.0.2j
• 1.0.2k
• 1.0.2l
• 1.0.2m
• 1.0.2n
• 1.0.2o
• 1.1.0
• 1.1.0a
• 1.1.0b
• 1.1.0c
• 1.1.0d
• 1.1.0e
• 1.1.0f
• 1.1.0g
• 1.1.0h

Лицензия

• Открытый исходный код

Поддержка

• end of life (old version)

Веб-сайт

• Продукт: https://www.openssl.org/

CPE 2.3Информация

• 🔍
• 🔍
• 🔍

CPE 2.2Информация

• 🔍
• 🔍
• 🔍

CVSSv4Информация

VulDB Вектор: 🔍
VulDB Надёжность: 🔍

CVSSv3Информация

VulDB Meta Base Score: 6.4
VulDB Meta Temp Score: 6.3

VulDB Базовый балл: 5.3
VulDB Временная оценка: 5.1
VulDB Вектор: 🔍
VulDB Надёжность: 🔍

NVD Базовый балл: 7.5
NVD Вектор: 🔍

CVSSv2Информация

AV	AC	Au	C	I	A
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳

Вектор	Сложность	Аутентификация	Конфиденциальность	Целостность	Доступность
Разблокировать	Разблокировать	Разблокировать	Разблокировать	Разблокировать	Разблокировать
Разблокировать	Разблокировать	Разблокировать	Разблокировать	Разблокировать	Разблокировать
Разблокировать	Разблокировать	Разблокировать	Разблокировать	Разблокировать	Разблокировать

VulDB Базовый балл: 🔍
VulDB Временная оценка: 🔍
VulDB Надёжность: 🔍

NVD Базовый балл: 🔍

ЭксплуатацияИнформация

Класс: отказ в обслуживании
CWE: CWE-320
CAPEC: 🔍
ATT&CK: 🔍

Физический: Нет
Локальный: Нет
Удалённый: Да

Доступность: 🔍
Статус: Не определено

EPSS Score: 🔍
EPSS Percentile: 🔍

Прогноз цен: 🔍
Оценка текущей цены: 🔍

0-Day	Разблокировать	Разблокировать	Разблокировать	Разблокировать
Сегодня	Разблокировать	Разблокировать	Разблокировать	Разблокировать

Nessus ID: 110878
Nessus Имя: EulerOS 2.0 SP3 : openssl110f (EulerOS-SA-2018-1214)
Nessus Файл: 🔍
Nessus Риск: 🔍
Nessus Семейство: 🔍
Nessus Context: 🔍

Qualys ID: 🔍
Qualys Имя: 🔍

Разведка угрозИнформация

Интерес: 🔍
Активные акторы: 🔍
Активные группы APT: 🔍

КонтрмерыИнформация

Рекомендация: Патч
Статус: 🔍

Время реакции: 🔍
Время экспозиции: 🔍

Обновление: OpenSSL 1.0.2p-dev/1.1.0i-dev
Патч: 3984ef0b72831da8b3ece4745cac4f8575b19098

ХронологияИнформация

30.11.2017 🔍
12.06.2018 +193 дни 🔍
12.06.2018 +0 дни 🔍
12.06.2018 +0 дни 🔍
12.06.2018 +0 дни 🔍
12.06.2018 +0 дни 🔍
27.06.2018 +15 дни 🔍
03.07.2018 +6 дни 🔍
22.03.2023 +1723 дни 🔍

ИсточникиИнформация

Продукт: openssl.org

Консультация: RHSA-2018:2552
Исследователь: Guido Vranken
Статус: Подтверждённый
Подтверждение: 🔍

CVE: CVE-2018-0732 (🔍)
GCVE (CVE): GCVE-0-2018-0732
GCVE (VulDB): GCVE-100-119378

OVAL: 🔍

SecurityFocus: 104442 - OpenSSL CVE-2018-0732 Denial of Service Vulnerability
SecurityTracker: 1041090

Смотрите также: 🔍

ВходИнформация

Создано: 12.06.2018 21:42
Обновлено: 22.03.2023 14:56
Изменения: 12.06.2018 21:42 (80), 27.06.2020 20:04 (4), 22.03.2023 14:56 (6)
Завершенный: 🔍
Cache ID: 216::103

If you want to get best quality of vulnerability data, you may have to visit VulDB.

Обсуждение

Want to know what is going to be exploited?

We predict KEV entries!