当前位置: 新闻中心 > 公司新闻

OpenSSL新年再现8个漏洞 安恒信息提醒及时升级

日期:2015-01

2015年1月8日,安恒信息从OpenSSL开源项目官网获知其针对0.98zd、1.0.0p和1.0.1k版本的修复补丁发布了8个安全漏洞的修复方案。其中最严重的漏洞被OpenSSL项目组归类为中等安全威胁,这个漏洞可以用来发动拒绝服务攻击。其余的六个问题被定义为低安全威胁。

前面提到的中等安全威胁的漏洞是通过一个特定的DTLS消息导致空指针在解引用时OpenSSL发生的段错误。这个问题影响到所有当前的OpenSSL版本(0.9.8,1.0.0和1.0.1)并且可能导致拒绝服务攻击。第二个中等威胁漏洞会导致内存泄漏,是由dtls1_buffer_record函数在一定条件下被利用导致的。如果攻击者发送重复的DTLS记录包并含相同的序列号这个攻击就有可能攻击成功。内存泄漏可以通过拒绝服务攻击使得内存耗尽这样的方式来利用。

这些漏洞影响的OpenSSL版本为1.0.1和1.0.0。尽管这些问题没到达到“心脏出血”漏洞的严重程度,管理人员仍应该开始计划升级他们OpenSSL服务器。

我们仍在研究昨日宣布的这八个问题的影响,最严重的漏洞只会导致拒绝服务攻击,受到影响的服务器会产生段错误并且可能导致崩溃(CVE-2014-3571)或者内存耗尽(CVE-2015-0206),因此为了保持可靠的服务,OpenSSL需要升级或使用不受影响的SSL库,如LibreSSL。

其他的漏洞包括OpenSSL服务接受客户端证书没有进行DH证书验证消息、允许客户端验证没有私钥的访问等,这只影响服务器信任的客户端证书权威问题。

另一个漏洞是OpenSSL的客户端在握手时接受使用ECDH加密方式,如果服务器密钥交换消息没有使用ECDSA证书,加密方式将会实效。

安恒信息建议为了保障您的网络信息数据安全,请尽快将您的OpenSSL升级到相应的安全版本:

1. Openssl dtls1_get_record函数拒绝服务(CVE-2014-3571)
OpenSSL的1.0.1 DTLS用户应该升级到1.0.1k
OpenSSL的1.0.0 DTLS用户应该升级到1.0.0p
OpenSSL的0.9.8 DTLS用户应该升级到0.9.8zd
2. Openssl DTLS内存泄漏漏洞(CVE-2015-0206)
OpenSSL的1.0.1 DTLS用户应该升级到1.0.1k
OpenSSL的1.0.0 DTLS用户应该升级到1.0.0p
3. No-SSL3配置集方法空指针(CVE-2014-3569)
OpenSSL的1.0.1的用户应该升级到1.0.1k
OpenSSL的1.0.0的用户应该升级到1.0.0p
OpenSSL的0.9.8的用户应该升级到0.9.8zd
4. ECDHE客户端协商降级ECDH (CVE-2014-3572)
OpenSSL的1.0.1的用户应该升级到1.0.1k
OpenSSL的1.0.0的用户应该升级到1.0.0p
OpenSSL的0.9.8的用户应该升级到0.9.8zd
5. RSA客户端协商降级EXPORT_RSA(CVE-2015-0204)
OpenSSL的1.0.1的用户应该升级到1.0.1k
OpenSSL的1.0.0的用户应该升级到1.0.0p
OpenSSL的0.9.8的用户应该升级到0.9.8zd
6. 服务器验证客户DH信息不全(CVE-2015-0205)
OpenSSL的1.0.1的用户应该升级到1.0.1k
OpenSSL的1.0.0的用户应该升级到1.0.0p
7. 证书指纹可以被修改(CVE-2014-8275)
OpenSSL的1.0.1的用户应该升级到1.0.1k
OpenSSL的1.0.0的用户应该升级到1.0.0p
OpenSSL的0.9.8的用户应该升级到0.9.8zd
8. BIGNUM平方可能会产生不正确的结果(CVE-2014-3570)
OpenSSL的1.0.1的用户应该升级到1.0.1k
OpenSSL的1.0.0的用户应该升级到1.0.0p
OpenSSL的0.9.8的用户应该升级到0.9.8zd

如果有读者就文章内容希望与安恒信息的专家进行交流,欢迎拨打我们的客服热线进行垂询:400-6059-110。
或者通过以下方式联系我们。
电子邮件 :info@dbappsecurity.com.cn
关注安恒信息官方微信号:DBAPP2013 即可与我们的客服人员即时沟通