800+ IT
News
als RSS Feed abonnieren📚 OpenSSL bis 1.1.0e Encrypt-Then-Mac Crash Denial of Service
💡 Newskategorie: Sicherheitslücken
🔗 Quelle: vuldb.com
In OpenSSL bis 1.1.0e wurde eine Schwachstelle entdeckt. Sie wurde als problematisch eingestuft. Das betrifft eine unbekannte Funktion der Komponente Encrypt-Then-Mac. Mit der Manipulation mit einer unbekannten Eingabe kann eine Denial of Service-Schwachstelle (Crash) ausgenutzt werden. Dies wirkt sich aus auf die Verfügbarkeit.
Die Schwachstelle wurde am 16.02.2017 durch Joe Orton als 20170216.txt in Form eines bestätigten Advisories (Website) an die Öffentlichkeit getragen. Bereitgestellt wird das Advisory unter openssl.org. Die Veröffentlichung wurde in Zusammenarbeit mit dem Hersteller durchgeführt. Eine eindeutige Identifikation der Schwachstelle wird mit CVE-2017-3733 vorgenommen. Die Umsetzung des Angriffs kann dabei über das Netzwerk erfolgen. Das Angehen einer einfachen Authentisierung ist erforderlich, um eine Ausnutzung anzugehen. Nicht vorhanden sind sowohl technische Details als auch ein Exploit zur Schwachstelle. Als Preis für einen Exploit ist zur Zeit ungefähr mit USD $0-$5k zu rechnen (Preisberechnung vom 02/17/2017).
Ein Upgrade auf die Version 1.0.2 oder 1.1.0e vermag dieses Problem zu beheben.
Mitunter wird der Fehler auch in der Verwundbarkeitsdatenbank von SecurityTracker (ID 1037846) dokumentiert. Das deutsche IT-Nachrichtenportal Heise berichtet ebenfalls über den Fall.
CVSSv3
Base Score: 4.3Temp Score: 4.1
Vector: CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L/E:X/RL:O/RC:C
Zuverlässigkeit: High
CVSSv2
Base Score: 3.5 (CVSS2#AV:N/AC:M/Au:S/C:N/I:N/A:P)Temp Score: 3.0 (CVSS2#E:ND/RL:OF/RC:C)
Zuverlässigkeit: High
CPE
- cpe:/a:openssl:openssl:1.1.0
- cpe:/a:openssl:openssl:1.1.0a
- cpe:/a:openssl:openssl:1.1.0b
- cpe:/a:openssl:openssl:1.1.0c
- cpe:/a:openssl:openssl:1.1.0d
- cpe:/a:openssl:openssl:1.1.0e
Exploiting
Klasse: Denial of ServiceLokal: Nein
Remote: Ja
Verfügbarkeit: Nein
Preisentwicklung: gleichbleibend
Aktuelle Preisschätzung: $0-$5k (0-day) / $0-$5k (Heute)
Gegenmassnahmen
Empfehlung: UpgradeStatus: Offizieller Fix
0-Day Time: 0 Tage seit gefunden
Upgrade: OpenSSL 1.0.2/1.1.0e
Timeline
16.02.2017 Advisory veröffentlicht16.02.2017 SecurityTracker Eintrag erstellt
17.02.2017 VulDB Eintrag erstellt
17.02.2017 VulDB letzte Aktualisierung
Quellen
Advisory: 20170216.txtPerson: Joe Orton
Status: Bestätigt
Koordiniert: Ja
CVE: CVE-2017-3733 (mitre.org) (nvd.nist.org) (cvedetails.com)
SecurityTracker: 1037846 - OpenSSL Flaw in Encrypt-Then-Mac Extension Negotiation Lets Remote Authenticated Users Cause the Target Service to Crash
Heise: 3629698
Eintrag
Erstellt: 17.02.2017Eintrag: 75.2% komplett
...