Показано с 1 по 1 из 1.

Критическая уязвимость в OpenSSL

  1. #1
    NewsMaker Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    22.03.2011
    Сообщений
    7,807
    Вес репутации
    141

    Критическая уязвимость в OpenSSL



    Доступны корректирующие релизы OpenSSL 1.0.2d и 1.0.1p, в которых устранена критическая уязвимость (CVE-2015-1793), позволяющая обойти процедуру проверки сертификата и организовать подтверждённое соединение с использованием подставного сертификата. Причиной уязвимости являются внесённые в выпусках 1.0.1n и 1.0.2b изменения, в результате которых OpenSSL пытается найти альтернативную цепочку верификации сертификата, если первая попытка построения цепочки подтверждения доверия не увенчалась успехом. Из-за ошибки в реализации данной особенности, атакующий получил возможность пройти некоторые проверки указав не заслуживающий доверия сертификат. В частности, можно пройти проверку на флаг принадлежности удостоверяющему центру, что даёт атакующему возможность задействовать второстепенный заверенный сертификат в качестве сертификата удостоверяющего центра и "выписать" при его помощи подставной сертификат, который успешно пройдёт проверку в OpenSSL. Т.е. атакующий получает возможность выступить в качестве удостоверяющего центра, генерирующего сертификаты для любых доменов, пишет opennet.ru. Проблема затрагивает любые приложения, инициирующие проверку сертификата, в том числе клиенты SSL/TLS/DTLS и серверы SSL/TLS/DTLS, использующие клиентскую аутентификацию. Опасность уязвимости частично смягчает то, что она проявляется только в версиях OpenSSL 1.0.2c, 1.0.2b, 1.0.1n и 1.0.1o, выпущенных в июне. Более ранние выпуски, а также ветки 1.0.0 и 0.9.8 уязвимость не затрагивает. Проблема выявлена Адамом Лэнгли (Adam Langley) из Google и Дэйвидом Бенджамином (David Benjamin) из проекта BoringSSL.

    Источник: http://www.anti-malware.ru/news/2015-07-10/16461

  2. Реклама
     

Похожие темы

  1. Критическая уязвимость в PolarSSL
    От CyberWriter в разделе Другие новости
    Ответов: 0
    Последнее сообщение: 20.01.2015, 10:10
  2. Критическая уязвимость в OpenSSL 1.0.1 и 1.0.2-beta
    От CyberWriter в разделе Другие новости
    Ответов: 0
    Последнее сообщение: 08.04.2014, 23:30
  3. Обнаружена критическая уязвимость в VLC
    От CyberWriter в разделе Новости компьютерной безопасности
    Ответов: 0
    Последнее сообщение: 05.05.2011, 20:00
  4. Критическая уязвимость в phpMyAdmin
    От ALEX(XX) в разделе Уязвимости
    Ответов: 0
    Последнее сообщение: 18.09.2008, 17:28
  5. Критическая уязвимость в Samba
    От Синауридзе Александр в разделе Linux
    Ответов: 0
    Последнее сообщение: 29.05.2008, 00:47

Свернуть/Развернуть Ваши права в разделе

  • Вы не можете создавать новые темы
  • Вы не можете отвечать в темах
  • Вы не можете прикреплять вложения
  • Вы не можете редактировать свои сообщения
  •  
Page generated in 0.00459 seconds with 18 queries