OpenSSL 拒绝服务、证书绕过漏洞通告
报告编号:B6-2021-032601
报告来源:360CERT
报告作者:360CERT
更新日期:2021-03-26
0x01漏洞简述
2021年03月26日,360CERT监测发现OpenSSL
发布了OpenSSL
的安全更新风险通告,漏洞编号为CVE-2021-3450,CVE-2021-3449
,漏洞等级:高危
,漏洞评分:8.8
。
OpenSSL是一个开放源代码的软件库包,应用程序可以使用这个包来进行安全通信,同时确认连接者身份。这个包广泛被应用在互联网的网页服务器上。例如:cisco设备
,apache server
,nginx server
等。
对此,360CERT建议广大用户及时将OpenSSL
升级到最新版本。与此同时,请做好资产自查以及预防工作,以免遭受黑客攻击。
0x02风险等级
360CERT对该漏洞的评定结果如下
评定方式 | 等级 |
---|---|
威胁等级 | 高危 |
影响面 | 广泛 |
360CERT评分 | 8.8 |
0x03漏洞详情
CVE-2021-3450: 证书校验漏洞
CVE: CVE-2021-3450
组件: openssl
漏洞类型: 证书校验
影响: 通信、流量劫持
简述: 在开启 X509_V_FLAG_X509_STRICT 选项的 openssl 服务器上,由于OpenSSL对X.509证书链的验证逻辑中存在问题,导致受影响的系统接受由非CA证书或证书链签名的有效证书。攻击者可以通过使用任何有效的证书或证书链来签名精心制作的证书来利用此漏洞。成功的利用可能使攻击者能够进行中间人(MiTM)攻击并获取敏感信息(例如:访问受证书身份验证保护的网络或资产,窃听加密通信内容)。
CVE-2021-3449: 拒绝服务漏洞
CVE: CVE-2021-3449
组件: openssl
漏洞类型: 拒绝服务
影响: 服务宕机
简述: OpenSSL TLSv1.2 重新协商选项(默认开启)中存在一处空指针解引用,并导致拒绝服务。
0x04影响版本
- openssl:openssl
: 1.1.1h~1.1.1j
0x05修复建议
通用修补建议
升级到 openssl1.1.1k
临时修补建议
针对 CVE-2021-3449 漏洞可以通过如下方式进行自我检测。
openssl s_client -tls1_2 -connect your_domain:443
[按下 R键]
查看关键词RENEGOTIATING
下方是否有包含verify
关键词的内容。若存在则受到影响
若出现write:errno=0
则标识不受到该漏洞影响
0x06产品侧解决方案
360城市级网络安全监测服务
360CERT的安全分析人员利用360安全大脑的QUAKE资产测绘平台(quake.360.cn),通过资产测绘技术的方式,对该漏洞进行监测。可联系相关产品区域负责人或(quake#360.cn)获取对应产品。
0x07时间线
2021-03-25 OpenSSL发布安全更新
2021-03-26 360CERT发布通告
0x08参考链接
1、 OpenSSL Vulnerabilities
https://www.openssl.org/news/vulnerabilities.html
0x09特制报告下载链接
一直以来,360CERT对全球重要网络安全事件进行快速通报、应急响应。为更好地为政企用户提供最新漏洞以及信息安全事件的安全通告服务,现360CERT正式推出安全通告特制版报告,以便用户做资料留存、传阅研究与查询验证。用户可直接通过以下链接进行特制报告的下载。
OpenSSL 拒绝服务、证书绕过漏洞通告
http://pub-shbt.s3.360.cn/cert-public-file/【360CERT】OpenSSL_拒绝服务、证书绕过漏洞通告.pdf
若有订阅意向与定制需求请扫描下方二维码进行信息填写,或发送邮件至g-cert-report#360.cn ,并附上您的 公司名、姓名、手机号、地区、邮箱地址。
转载自https://mp.weixin.qq.com/s/sa4OZfBbxzB9nd8d0vG_bw
OpenSSL 拒绝服务、证书绕过漏洞通告相关推荐
- CVE-2020-8558: Kubernetes 本地主机边界绕过漏洞通告
CVE-2020-8558: Kubernetes 本地主机边界绕过漏洞通告 360-CERT [三六零CERT](javascript:void(0)
- CVE-2020-14750: Weblogic Console 验证绕过漏洞通告
原创 360CERT [三六零CERT](javascript:void(0)
- CVE-2020-17510: Apache Shiro 权限绕过漏洞通告
原创 360CERT [三六零CERT](javascript:void(0)
- CVE-2020-1971: OpenSSL 拒绝服务漏洞通告
2020-12-09 08:47 报告编号:B6-2020-120901 报告来源:360CERT 报告作者:360CERT 更新日期:2020-12-09 0x01 漏洞简述 2020年12月09日 ...
- CVE-2020-1967: openssl 拒绝服务漏洞通告
CVE-2020-1967: openssl 拒绝服务漏洞通告 360-CERT [360CERT](javascript:void(0)
- 绿盟科技网络安全威胁周报2017.07 请关注OpenSSL拒绝服务漏洞CVE-2017-3733
绿盟科技发布了本周安全通告,周报编号NSFOCUS-17-07,绿盟科技漏洞库本周新增49条,其中高危24条.本次周报建议大家关注 OpenSSL拒绝服务漏洞 CVE-2017-3733 .目前Ope ...
- 众至科技:漏洞通告 | 微软10月发布多个安全漏洞;Apache Shiro权限绕过漏洞;Apache Commons存在代码执行漏洞
微软发布10月多个安全漏洞 1.漏洞概述 2022年10月11日,微软发布了10月安全更新,此次更新修复了包括2个0 day漏洞在内的84个安全漏洞(不包括10月3日修复的12个Microsoft ...
- Centos7修复OpenSSL拒绝服务漏洞(CVE-2022-0778)
前言: centos7环境下OpenSSL拒绝服务漏洞(CVE-2022-0778) 漏洞影响范围: OpenSSL1.0.2 OpenSSL1.1.1 OpenSSL3.0 OpenSSL拒绝服务漏 ...
- openssl 签发sm2证书_首个NSA公开披露的软件系统漏洞——CVE20200601数字证书验证漏洞分析与实验...
文/林璟锵 刘广祺 孟令佳 万会庆 王琼霄 王伟 王文杰 徐博文 中国科学院数据与通信保护研究教育中心 中国科学院信息工程研究所 信息安全国家重点实验室 1. CVE-2020-0601漏洞 2020 ...
最新文章
- 我们注意到您的计算机目前处于离线状态_如何将您的计算机添加到Pekka网络
- Brainburn movies
- 电脑测速软件_不服跑个分!常见固态硬盘测速工具性价比盘点(上)
- 重新初始化k8s master节点
- 如何避免重复请求/并发请求?这样处理才足够优雅
- 网站搜索功能怎么实现_电商网站上的搜索功能是如何实现的?
- Educoder Basemap和Seaborn 第2关:Seaborn图形介绍
- CentOS7虚拟机克隆,且成功互ping
- docker管理神器—kubernetes—直接路由篇
- excel计算机二级考试试题,计算机二级考试Excel操作考试题.doc
- g729源码分析-开篇
- php studay,studay是什么意思
- 6 errors and 0 warnings potentially fixable with the`--fix` option
- 什么是股票情绪量化指标?
- Android 基于Message的进程间通信 Messenger完全解析
- 算法工程师(机器学习/深度学习)Offer的准备流程
- DIY pt2262遥控器和2272-m4接收器
- 迎来新兴市场数字化转型红利,雅乐科技潇洒画出“向上曲线”
- 宝可梦 图片识别python_使用Tensorflow从0开始搭建精灵宝可梦的检测APP
- RUP之动态结构:迭代开发
热门文章
- 有多远滚多远 html5游戏,68微信游戏有多远滚多远怎样能得高分
- 小森生活一直显示服务器连接异常,小森生活进不去怎么解决?无法进入游戏问题原因与解决办法[多图]...
- 007-系统主要界面
- 人工智能接口调试(百度AI|腾讯AI)
- 华能集团牵手阿里云 打造“互联物+”阳光采购样板工程
- SurfaceView显示透明色
- ppt高级动画效果如何循环起来?
- 16、持续集成流水线实践:流水线上的AI单元测试(MAVEN)
- 在Linux上部署第一个web项目
- SQL语句学习(自学记录)