Уязвимость BDU:2015-11035

Дата: 12.06.2015. Автор: ФСТЭК России. Категории: Уязвимости

Идентификатор: BDU:2015-11035.

Наименование уязвимости: Уязвимость функции BN_GF2m_mod_inv библиотеки OpenSSL, позволяющая нарушителю вызвать отказ в обслуживании.

Описание уязвимости: Уязвимость функции BN_GF2m_mod_inv (crypto/bn/bn_gf2m.c) библиотеки OpenSSL связана с ошибками управления ресурсом. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании из-за ошибок, возникающих при установлении сеанса связи, в ходе которого используется алгоритм, основанный на эллиптических кривых
Уязвимое ПО: Программное средство защиты OpenSSL Software Foundation OpenSSL до 0.9.8s | Программное средство защиты OpenSSL Software Foundation OpenSSL от 1.0.0 до 1.0.0e | Программное средство защиты OpenSSL Software Foundation OpenSSL от 1.0.1 до 1.0.1n | Программное средство защиты OpenSSL Software Foundation OpenSSL от 1.0.2 до 1.0.2b | ПО сетевого программно-аппаратного средства Moxa Inc. MOXA EDR-810 4.1 |

Наименование ОС и тип аппаратной платформы:
Дата выявления: 12.06.2015.
CVSS 2.0: AV:N/AC:M/Au:N/C:N/I:N/A:P
Уровень опасности уязвимости: Средний уровень опасности (базовая оценка CVSS 2.0 составляет 4,3)

Возможные меры по устранению:
Использование рекомендаций:

Для MOXA:
https://www.moxa.com/en/support/product-support/security-advisory/edr-810-series-security-router-vulnerabilities-(1)

Для OpenSSL:

https://www.openssl.org/news/secadv_20150611.txt.
Статус уязвимости: Подтверждена производителем
Наличие эксплойта: Данные уточняются
Информация об устранении: Уязвимость устранена
Идентификаторы других систем описаний уязвимости: CVE-2015-1788.

Тип ошибки CWE: CWE-399
Ссылки на источники:
cайт ФАУ «ГНИИИ ПТЗИ ФСТЭК России».
https://github.com/openssl/openssl/commit/4924b37ee01f71ae19c94a8934b80eeb2f677932

https://www.openssl.org/news/secadv_20150611.txt
https://www.moxa.com/en/support/product-support/security-advisory/edr-810-series-security-router-vulnerabilities-(1)

Об авторе ФСТЭК России

Аккаунт для добавления уязвимостей с банка данных угроз безопасности информации ФСТЭК России. Не является оф. аккаунтом ФСТЭК России.
Читать все записи автора ФСТЭК России

Добавить комментарий

Ваш адрес email не будет опубликован. Обязательные поля помечены *