Ron Rivest RC4 Algorithm Pseudo-Random Character Generation mã hóa yếu
| CVSS Điểm tạm thời meta | Giá khai thác hiện tại (≈) | Điểm quan tâm CTI |
|---|---|---|
| 5.9 | $0-$5k | 0.00 |
Tóm tắt
Một điểm yếu phân loại là Có vấn đề đã xuất hiện trong Ron Rivest RC4 Algorithm. Thành phần bị tác động gồm một hàm chưa được xác minh rõ nằm trong thành phần Pseudo-Random Character Generation. Việc thay đổi mã hóa yếu. Lỗ hổng này được biết đến với tên CVE-2013-2566. Có thể tiến hành tấn công thông qua truy cập từ xa. Bên cạnh đó, mã khai thác đã được phát hành. Lỗ hổng bảo mật này đã để lại dấu ấn lịch sử vì bối cảnh và phản hồi. Nên thay thế thành phần bị ảnh hưởng bằng một thành phần thay thế.
Chi tiết
Một điểm yếu phân loại là Có vấn đề đã xuất hiện trong Ron Rivest RC4 Algorithm. Thành phần bị tác động gồm một hàm chưa được xác minh rõ nằm trong thành phần Pseudo-Random Character Generation. Việc thay đổi mã hóa yếu. Khai báo vấn đề bằng CWE sẽ dẫn tới CWE-310. Lỗi này được phát hiện vào 12/03/2013. Lỗ hổng này đã được phát hành vào ngày 12/03/2013 bởi D. J. Bernstein (Paul) cùng với University of Illinois at Chicago & Technische Universiteit Eindhoven với mã Failures of secret-key cryptography dưới loại Presentation (Trang web). Bạn có thể tải khuyến nghị này tại cr.yp.to. Bản phát hành công khai đã được thực hiện mà không phối hợp với nhà sản xuất.
Lỗ hổng này được biết đến với tên CVE-2013-2566. Ngày 14/03/2013 là thời điểm CVE được gán. Có thể tiến hành tấn công thông qua truy cập từ xa. Chưa có thông tin kỹ thuật nào. Mức độ khó của cuộc tấn công này tương đối cao. Người ta cho rằng việc khai thác là khó thực hiện. Lỗ hổng này có mức độ phổ biến thấp hơn trung bình. Bên cạnh đó, mã khai thác đã được phát hành. Thông tin về khai thác đã được công bố rộng rãi và có khả năng bị lợi dụng. Hiện thời, giá của một exploit có thể vào khoảng USD $0-$5k. Dự án MITRE ATT&CK xác định kỹ thuật tấn công là T1600. Lỗ hổng bảo mật này đã để lại dấu ấn lịch sử vì bối cảnh và phản hồi. Thông báo cảnh báo như sau:
During RC4 output generation, a wide variety of small biases are introduced into the process, decreasing the expected randomness. In a situation where the same text is encrypted many times (e.g. a cookie for a web application), a context-dependent attacker that intercepts the traffic can infer the plaintext value of the encrypted content.
Nó được tuyên bố là bằng chứng khái niệm. Bạn có thể tải xuống bản khai thác này tại cr.yp.to. Là 0-day, giá ước tính trên thị trường ngầm vào khoảng $0-$5k. Trình quét lỗ hổng Nessus cung cấp một plugin với ID 78155 (F5 Networks BIG-IP : TLS/SSL RC4 vulnerability (K14638)), giúp xác định sự tồn tại của lỗ hổng trong môi trường mục tiêu. Nếu tồn tại, nó sẽ thuộc về họ F5 Networks Local Security Checks. Plugin được thực thi với loại ngữ cảnh l. Hệ thống này phụ thuộc vào cổng 0. Trình quét lỗ hổng thương mại Qualys có thể kiểm tra vấn đề này bằng plugin 91499 (Microsoft Azure Stack 1809 Multiple Security Vulnerabilities).
Bản sửa lỗi sẵn sàng để tải xuống tại hitachi.co.jp. Một lựa chọn thay thế có thể là AEAD TLS. Nên thay thế thành phần bị ảnh hưởng bằng một thành phần thay thế. Một giải pháp giảm thiểu đã được công bố 6 các tháng sau khi lỗ hổng bảo mật được tiết lộ.
Lỗ hổng cũng được ghi lại trong các cơ sở dữ liệu lỗ hổng khác: SecurityFocus (BID 58796) , Tenable (78155).
Sản phẩm
Nhà cung cấp
Tên
CPE 2.3
CPE 2.2
Ảnh chụp màn hình
CVSSv4
VulDB Vector: 🔍VulDB Độ tin cậy: 🔍
CVSSv3
VulDB Điểm cơ sở meta: 6.2VulDB Điểm tạm thời meta: 5.9
VulDB Điểm cơ sở: 6.5
VulDB Điểm tạm thời: 5.9
VulDB Vector: 🔍
VulDB Độ tin cậy: 🔍
NVD Điểm cơ sở: 5.9
NVD Vector: 🔍
CVSSv2
| AV | AC | Au | C | I | A |
|---|---|---|---|---|---|
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| Véc-tơ | Độ phức tạp | Xác thực | Bí mật | Toàn vẹn | Khả dụng |
|---|---|---|---|---|---|
| Mở khóa | Mở khóa | Mở khóa | Mở khóa | Mở khóa | Mở khóa |
| Mở khóa | Mở khóa | Mở khóa | Mở khóa | Mở khóa | Mở khóa |
| Mở khóa | Mở khóa | Mở khóa | Mở khóa | Mở khóa | Mở khóa |
VulDB Điểm cơ sở: 🔍
VulDB Điểm tạm thời: 🔍
VulDB Độ tin cậy: 🔍
NVD Điểm cơ sở: 🔍
Khai thác
Lớp: Mã hóa yếuCWE: CWE-310
CAPEC: 🔍
ATT&CK: 🔍
Vật lý: Không
Cục bộ: Không
Từ xa: Có
Khả dụng: 🔍
Truy cập: Công khai
Trạng thái: Bằng chứng khái niệm
Tác giả: D. J. Bernstein
Tải xuống: 🔍
EPSS Score: 🔍
EPSS Percentile: 🔍
Dự đoán giá: 🔍
Ước tính giá hiện tại: 🔍
| 0-Day | Mở khóa | Mở khóa | Mở khóa | Mở khóa |
|---|---|---|---|---|
| Hôm nay | Mở khóa | Mở khóa | Mở khóa | Mở khóa |
Nessus ID: 78155
Nessus Tên: F5 Networks BIG-IP : TLS/SSL RC4 vulnerability (K14638)
Nessus Tệp tin: 🔍
Nessus Rủi ro: 🔍
Nessus Gia đình: 🔍
Nessus Context: 🔍
Nessus Port: 🔍
OpenVAS ID: 841633
OpenVAS Tên: Ubuntu Update for firefox USN-2031-1
OpenVAS Tệp tin: 🔍
OpenVAS Gia đình: 🔍
Qualys ID: 🔍
Qualys Tên: 🔍
Tình báo mối đe dọa
Sự quan tâm: 🔍Diễn viên đang hoạt động: 🔍
Nhóm APT đang hoạt động: 🔍
Biện pháp đối phó
Khuyến nghị: Phương án thay thếTrạng thái: 🔍
Thời gian phản ứng: 🔍
Thời gian 0-ngày: 🔍
Thời gian tiếp xúc: 🔍
Thời gian trễ khai thác: 🔍
Bản vá: hitachi.co.jp
Phương án thay thế: AEAD TLS
dòng thời gian
12/03/2013 🔍12/03/2013 🔍
12/03/2013 🔍
12/03/2013 🔍
13/03/2013 🔍
14/03/2013 🔍
15/03/2013 🔍
27/08/2013 🔍
10/10/2014 🔍
22/05/2026 🔍
Nguồn
Khuyến cáo: Failures of secret-key cryptographyNhà nghiên cứu: D. J. Bernstein (Paul)
Tổ chức: University of Illinois at Chicago & Technische Universiteit Eindhoven
Trạng thái: Đã xác nhận
Xác nhận: 🔍
CVE: CVE-2013-2566 (🔍)
GCVE (CVE): GCVE-0-2013-2566
GCVE (VulDB): GCVE-100-7953
OVAL: 🔍
IAVM: 🔍
SecurityFocus: 58796 - SSL/TLS RC4 CVE-2013-2566 Information Disclosure Weakness
OSVDB: 91162 - CVE-2013-2566 - RC4 - Plaintext-Recovery Issue
scip Labs: https://www.scip.ch/en/?labs.20161013
Khác: 🔍
Xem thêm: 🔍
mục
Được tạo: 13/03/2013 10:47Đã cập nhật: 22/05/2026 13:35
Thay đổi: 13/03/2013 10:47 (99), 09/07/2019 12:39 (4), 22/05/2026 13:35 (21)
Hoàn chỉnh: 🔍
Cache ID: 216::103
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.
Chưa có bình luận nào Ngôn ngữ: vi + km + en.
Vui lòng đăng nhập để bình luận