JVNDB-2014-003816
|
OpenSSL の s23_srvr.c 内の ssl23_get_client_hello 関数における TLS1.0 の使用を強制される脆弱性
|
OpenSSL の s23_srvr.c 内の ssl23_get_client_hello 関数には、TLS1.0 の使用を強制される脆弱性が存在します。
本件は、"プロトコルのダウングレード" の問題に関する脆弱性です。
|
CVSS v2 による深刻度 基本値: 4.3 (警告) [NVD値]
- 攻撃元区分: ネットワーク
- 攻撃条件の複雑さ: 中
- 攻撃前の認証要否: 不要
- 機密性への影響(C): なし
- 完全性への影響(I): 部分的
- 可用性への影響(A): なし
|
|
OpenSSL Project
- OpenSSL 1.0.1 以上 1.0.1i 未満
|
本脆弱性の影響を受けるヒューレット・パッカード製品の詳細については、ベンダ情報 HPSBMU03304 他をご確認ください。
|
中間者攻撃 (man-in-the-middle attack) により、より高い TLS バージョンをサポートするクライアントとサーバ間のコミュニケーションにおける ClientHello メッセージの断片化を誘発されることで、TLS1.0 の使用を強制される可能性があります。
|
ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。
|
Huawei
IBM
OpenSSL Project
Tenable Network Security
アルバネットワークス株式会社
オラクル
ターボリナックス
ヒューレット・パッカード
ヒューレット・パッカード・エンタープライズ
レッドハット
|
- 情報不足(CWE-noinfo) [NVD評価]
|
- CVE-2014-3511
|
- National Vulnerability Database (NVD) : CVE-2014-3511
|
- [2014年08月15日]
掲載
[2014年09月17日]
ベンダ情報:Tenable Network Security ([R1] OpenSSL Protocol Downgrade Vulnerability Affects Tenable Products) を追加
ベンダ情報:アルバネットワークス株式会社 (AID-08182014) を追加
[2014年11月07日]
ベンダ情報:オラクル (CVE-2014-3511 Cryptographic vulnerability in OpenSSL) を追加
ベンダ情報:オラクル (Multiple vulnerabilities in WAN Boot) を追加
[2014年11月26日]
ベンダ情報:Huawei (Huawei-SA-20141008-OpenSSL) を追加
ベンダ情報:IBM (1686997) を追加
[2014年11月28日]
ベンダ情報:IBM (1682293) を追加
[2015年04月08日]
ベンダ情報:ターボリナックス (TLSA-2014-6) を追加
[2015年06月15日]
影響を受けるシステム:ベンダ情報の追加に伴い内容を更新
ベンダ情報:ヒューレット・パッカード (HPSBMU03304) を追加
ベンダ情報:ヒューレット・パッカード (HPSBMU03260) を追加
ベンダ情報:ヒューレット・パッカード (HPSBMU03267) を追加
ベンダ情報:ヒューレット・パッカード (HPSBMU03216) を追加
ベンダ情報:ヒューレット・パッカード (HPSBHF03293) を追加
ベンダ情報:レッドハット (RHSA-2015:0126) を追加
ベンダ情報:レッドハット (RHSA-2015:0197) を追加
[2016年10月07日]
ベンダ情報:ヒューレット・パッカード (HPSBMU03261) を追加
ベンダ情報:ヒューレット・パッカード (HPSBMU03263) を追加
ベンダ情報:ヒューレット・パッカード・エンタープライズ (HPSBMU03611) を追加
ベンダ情報:ヒューレット・パッカード・エンタープライズ (HPSBMU03612) を追加
|