آسیب پذیری دیگری مربوط به OpenSSl کشف شده است که به مهاجم اجازه می دهد ترافیک رمز شده SSl/TLS میان کلاینت و سرور را تغییر دهد و یا رمزگشایی نماید. به منظور اجرای حمله موفق، در صورتیکه کلاینت و سرور آسیب پذیر به این نوع از نقطه ضعف باشند، مهاجم نیازمند شنود ارتباط میان کلاینت هدف و سرور (MITM) می باشد. این آسیب پذیری با کد CVE-2014-0224 در نسخه های Openssl1.0.1 و جدیدتر و 1.0.2-beta1 شناخته شده است.
به دلیل ضعف در الگوریتم رمزنگاری Openssl و با سو استفاده از آسیب پذیری شناسایی شده در ارتباط handshake میان کلاینت و سرور و الزام آنها به استفاده از کلید رمز قابل حدس (CWE-325)، می توان حمله توقف در سرویس دهی را به دلیل امکان ارسال متناوب پیام های (CCS (ChangeCipherSpec در ارتباط SSl/TLS اجرا نمود.
نسخه های آسیب پذیر:
· تمامی کلاینت هایی که از تمامی نسخه های OpenSSl استفاده می نمایند.
· آسیب پذیری مذکور در نسخه های 1.0.1 و یا جدیدتر و 1.0.2-beta1 شناسایی شده است.
· مرورگرهای مطرح همچون Chrome، Firefox، IE و Safari در خطر نبوده ولی نسخه ای از مرورگرها مانند Chrome بر روی Android که از OpenSSL استفاده می نمایند آسیب پذیر می باشند.
رفع آسیب پذیری:
به منظور رفع آسیب پذیری شرح داده شده در این گزارش، می بایست سریعا از به روز رسانی های ارایه شده بر روی وب سایت Openssl استفاده نمود:
· ارتقا به نسخه های 0.9.8za ، 1.0.0m و 1.0.1h
certcc.ir
بدترین پسوردهای سال ۲۰۱۴
دوشنبه 10 فروردین 1394 | بدون نظر
انتقال امن اطلاعات محرمانه
پنج شنبه 6 فروردین 1394 | بدون نظر
