Атака типа "Lucky Thirteen"

Средняя (2.6)

(AV:N/AC:H/Au:N/C:P/I:N/A:N)

OpenSSL Project

OpenSSL (0.9.8, 0.9.8y, 1.0.0, 1.0.0k, 1.0.1, 1.0.1d)

Уязвимость существует в протоколах TLS и DTLS в OpenSSL, OpenJDK и PolarSSL из-за игнорирования атак по времени ( timing side-channel attacks)  в процессе проверки MAC (кода аутентификации сообщения) и обработки нестандартно заполненного блока шифротекста (Cipher Block Chaining, CBC). Эксплуатация данной уязвимости позволяет злоумышленникам, действующим удаленно, восстановить открытый текст, анализируя статистику о времени ответа при обработке специально сформированных пакетов. Данный вид атаки известен также под названием "Lucky Thirteen".

Для устранения уязвимости необходимо установить последнюю версию продукта, соответствующую используемой платформе. Необходимую информацию можно получить по адресу:
http://www.openssl.org/

Источник: CVE
Наименование: CVE-2013-0169
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2013-0169

http://www.openssl.org/news/secadv_20130205.txt