Атака типа "Lucky Thirteen"

Средняя (4.3)

(AV:N/AC:M/Au:N/C:N/I:P/A:N)

IBM

WebSphere Application Server (6.1.0.0, 6.1.0.47, 7.0.0.0, 7.0.0.29, 8.0.0.0, 8.0.0.7, 8.5.0.0, 8.5.5.0) JavaTM Platform (6, 6 U41, 7, 7 U15) JavaTM Platform 4, Standard Edition (1.4.2, 1.4.2_42) JavaTM Platform 5, Standard Edition (5.0, 5.0 U40)

Уязвимость существует в протоколах TLS и DTLS в OpenSSL, OpenJDK и PolarSSL из-за игнорирования атак по времени (timing side-channel attacks) в процессе проверки MAC (кода аутентификации сообщения) и обработки нестандартно заполненного блока шифротекста (Cipher Block Chaining, CBC). Эксплуатация данной уязвимости позволяет злоумышленникам, действующим удаленно, восстановить открытый текст, анализируя статистику о времени ответа при обработке специально сформированных пакетов. Данный вид атаки известен также под названием "Lucky Thirteen".

Для устранения уязвимости необходимо установить последнюю версию продукта, соответствующую используемой платформе. Необходимую информацию можно получить по адресу:
http://www.oracle.com/technetwork/java/javase/downloads/index.html
http://www-01.ibm.com/software/webservers/appserv/was/

Источник: CVE
Наименование: CVE-2013-0169
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2013-0169

http://www.oracle.com/technetwork/topics/security/javacpufeb2013update-1905892.html
http://www-01.ibm.com/support/docview.wss?uid=swg21644047