Атака "на понижение" (Logjam)

Средняя (4.3)

(AV:N/AC:M/Au:N/C:N/I:P/A:N)

Mozilla

Firefox (33.0, 39.0) Firefox ESR (31.0, 31.8, 38.0, 38.1) SeaMonkey (2.0.0, 2.35) Thunderbird (38.0, 38.1) OpenSSL (1.0.1, 1.0.1n, 1.0.2, 1.0.2b) JavaTM Platform (6, 6 U101, 7, 7 U85, 8, 8 U51)

Уязвимость существует в протоколе TLS (если на сервере, не на стороне клиента, включена опция криптопакета DHE_EXPORT) из-за некорректного выбора DHE_EXPORT. Эксплуатация данной уязвимости позволяет злоумышленнику, действующему по принципу "человек посередине", провести атаку "на понижение", подменив DHE на DHE_EXPORT в сообщении ClientHello и DHE_EXPORT на DHE в сообщении ServerHello. Данная уязвимость также известна под названием Logjam.

Для устранения уязвимости необходимо установить последнюю версию продукта, соответствующую используемой платформе. Необходимую информацию можно получить по адресу:
https://www.openssl.org/
http://www.mozilla.org/firefox/
http://www.mozilla.org/firefox/organizations/all.html
http://www.mozilla.org/thunderbird/
http://www.oracle.com/technetwork/java/javase/downloads/index.html

Источник: CVE
Наименование: CVE-2015-4000
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-4000

http://openssl.org/news/secadv_20150611.txt
https://www.mozilla.org/en-US/security/advisories/mfsa2015-70/
http://www.oracle.com/technetwork/topics/security/cpujul2015-2367936.html