安全漏洞预警通告-OpenSSL DoS漏洞CVE-2018-0739
来源： 发布时间：2018-03-29
|
安全漏洞通告 |
|||||
|
类型 |
堆栈溢出漏洞 |
影响范围 |
OpenSSL |
危害级别 |
高危 |
|
内容概述 |
|||||
|
OpenSSL DoS漏洞CVE-2018-0739 受影响版本： OpenSSL Project OpenSSL 1.1 OpenSSL Project OpenSSL 1.0.2 OpenSSL Project OpenSSL 1.1.0g OpenSSL Project OpenSSL 1.1.0f OpenSSL Project OpenSSL 1.1.0e OpenSSL Project OpenSSL 1.1.0d OpenSSL Project OpenSSL 1.1.0c OpenSSL Project OpenSSL 1.1.0b OpenSSL Project OpenSSL 1.1.0a OpenSSL Project OpenSSL 1.0.2n OpenSSL Project OpenSSL 1.0.2m OpenSSL Project OpenSSL 1.0.2l OpenSSL Project OpenSSL 1.0.2k OpenSSL Project OpenSSL 1.0.2j OpenSSL Project OpenSSL 1.0.2i OpenSSL Project OpenSSL 1.0.2h OpenSSL Project OpenSSL 1.0.2g OpenSSL Project OpenSSL 1.0.2f OpenSSL Project OpenSSL 1.0.2e OpenSSL Project OpenSSL 1.0.2d OpenSSL Project OpenSSL 1.0.2c OpenSSL Project OpenSSL 1.0.2b OpenSSL Project OpenSSL 1.0.2a |
|||||
|
详细说明 |
|||||
|
OpenSSL 是一个安全套接字层密码库，囊括主要的密码算法、常用的密钥和证书封装管理功能及SSL协议，并提供丰富的应用程序供测试或其它目的使用。SSL能使用户/服务器应用之间的通信不被攻击者窃听，并且始终对服务器进行认证，还可选择对用户进行认证。SSL协议要求建立在可靠的传输层协议(TCP)之上。SSL协议的优势在于它是与应用层协议独立无关的，高层的应用层协议(例如：HTTP，FTP，TELNET等)能透明地建立于SSL协议之上。SSL协议在应用层协议通信之前就已经完成加密算法、通信密钥的协商及服务器认证工作。在此之后应用层协议所传送的数据都会被加密，从而保证通信的私密性。 构建具有递归定义的ASN.1类型（例如可以在PKCS7中找到）最终可能会超过堆栈，因为恶意输入具有过度的递归。这可能会导致拒绝服务攻击。 |
|||||
|
处理方法和建议 |
|||||
|
1.漏洞修复： 目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载： https://www.openssl.org/source/ OpenSSL 1.1.0用户应该升级到1.1.0h OpenSSL 1.0.2用户应该升级到1.0.2o 2.参考链接： https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-0739 |
|||||