一、漏洞描述

SSL/TLS 存在Bar Mitzvah Attack漏洞
详细描述：该漏洞是由功能较弱而且已经过时的RC4加密算法中一个问题所导致的。它能够在某些情况下泄露SSL/TLS加密流量中的密文，从而将账户用户名密码、信用卡数据和其他敏感信息泄露给黑客。
解决办法：
1、服务器端禁止使用RC4加密算法。
2、客户端应在浏览器TLS配置中禁止RC4。
验证方法：根据SSL/TLS 存在Bar Mitzvah Attack漏洞原理，通过跟目标站点进行SSL握手并根据目标站点返回的Server Hello消息中的加密算法进行漏洞验证。
CVE编号：CVE-2015-2808

二、验证方式

在终端通过openssl命令验证：
openssl s_client -connect host:443 -cipher RC4
返回内容出现handshake failure说明RC4已禁用，否则需要修复，如下图：

三、修复方式——在nginx中禁用RC4

在nginx配置参数ssl_ciphers中添加!RC4，如下：

server{listen 443 ssl;server_name xxx.xxx.cn;ssl_certificate /etc/nginx/ssl/xxx.xxx.cn/cert.pem;ssl_certificate_key /etc/nginx/ssl/xxx.xxx.cn/key.pem;ssl_session_timeout 5m;ssl_protocols TLSv1 TLSv1.1 TLSv1.2; ssl_ciphers ALL:!ADH:!EXPORT56:!RC4:!RC4+RSA:+HIGH:+MEDIUM:+LOW:+SSLv2:+EXP;location / {proxy_set_header Upgrade $http_upgrade;proxy_set_header Connection $connection_upgrade;proxy_redirect off;proxy_set_header Host $host;proxy_set_header X-Real-IP $remote_addr;proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;proxy_set_header X-Forwarded-Proto https;proxy_pass http://xxx.xxx.xxx.xxx:8080;}
}

【CVE-2015-2808】SSL/TLS漏洞修复相关推荐

Windows Server 远程桌面 SSL/TLS 漏洞修复
Windows Server 远程桌面服务 SSL 加密默认是开启的,且有默认的 CA 证书.由于 SSL/TLS 本身存在漏洞,在开启远程桌面服务时,安全检测机构会报存在 SSL/TLS 漏洞. ...
(转)SSL/TLS 漏洞“受戒礼”,RC4算法关闭
原文:https://blog.csdn.net/Nedved_L/article/details/81110603 SSL/TLS 漏洞"受戒礼" 一.漏洞分析事件起因 201 ...
SSL/TLS 漏洞“受戒礼”,RC4算法关闭
SSL/TLS 漏洞"受戒礼" 一.漏洞分析事件起因 2015年3月26日,国外数据安全公司Imperva的研究员Itsik Mantin在BLACK HAT ASIA 2015 ...
rc4算法安全漏洞_(转)SSL/TLS 漏洞“受戒礼”,RC4算法关闭
原文:https://blog.csdn.net/Nedved_L/article/details/81110603 SSL/TLS 漏洞"受戒礼" 一.漏洞分析事件起因 201 ...
windows服务器ssl漏洞修复,Windows Server 2008或2012 修复CVE-2016-2183(SSL/TLS)漏洞的办法...
一.漏洞说明 Windows server 2008或2012远程桌面服务SSL加密默认是开启的,且有默认的CA证书.由于SSL/ TLS自身存在漏洞缺陷,当开启远程桌面服务,使用漏洞扫描工具扫描,发 ...
常见的几种SSL/TLS漏洞及攻击方式
原文阅读:https://www.infinisign.com/fa... 迄今为止,SSL/TLS已经阻止了基于SSL的无数次的网络攻击,本文介绍了SSL/TLS常见的几种漏洞以及过往的攻击方式,针 ...
rc4加密问题漏洞修复_「ssl漏洞」网站SSL安全漏洞修复指南
前段时间对公司的网站进行了一下扫描,使用的是awvs扫描器,发现了几处SSL方面的安全漏洞,网上找了一些修复的建议,分享给大家,如果你也遇到和我一样的问题,可以用此修复. Web网站的SSL漏洞主要包 ...
服务器——SSL/TLS协议信息泄露漏洞(CVE-2016-2183)修复办法
前言:近期某台Windows Server服务器的远程连接端口(3389)被扫出了SSL/TLS协议信息泄露漏洞(CVE-2016-2183),尝试了网上很多复制来复制去的"解决方法&quo ...
SSL/TLS类安全漏洞及SLB安全漏洞问题
SSL/TLS类安全漏洞及SLB安全漏洞问题 1 : 问题背景 1.1.SSL/TLS类漏洞-Sweet32 攻击 1.2.SSL/TLS类漏洞-弱密码套件 2 : 解决思路 2.1.学习SSL/TL ...

【CVE-2015-2808】SSL/TLS漏洞修复

一、漏洞描述

二、验证方式

三、修复方式——在nginx中禁用RC4

【CVE-2015-2808】SSL/TLS漏洞修复相关推荐

最新文章

热门文章