Карточка уязвимости
Характеристики уязвимости
Уровень опасности
Оценка CVSS
(AV:N/AC:H/Au:N/C:P/I:P/A:P)
Производитель ПО
Наименование ПО
Описание
OpenSSL - это инструмент. который реализует протоколы Secure Sockets Layer (SSL v2/v3) и Transport Layer Security (TLS v1), а также является криптографической библиотекой, предназначенной для общих целей.
Обнаружено, что библиотека OpenSSL некорректно инициализирует свое внутреннее состояние в функции SSL_library_init() после вызова функции CRYPTO_cleanup_all_ex_data(), что может привести к утечке памяти для каждого последующего SSL-подключения. Эта уязвимость может привести к тому, что серверные приложения, которые вызывают эти функции при перезагрузке, например, комбинация Apache HTTP Server, mod_ssl, PHP и cURL, будут потреблять всю доступную им память, что вызовет отказ в обслуживании. (CVE-2009-4355).
Обнаружено, что браузеры принимают сертификаты с подписью MD2, хотя MD2 не является криптографически стойким алгоритмом шифрования. Эта уязвимость позволяет злоумышленнику создать специальный сертификат, который будет воспринят браузером как доверенный. В текущей версии OpenSSL алгоритм MD2 для цифровых подписей отключен по умолчанию. (CVE-2009-2409)
Пользователям OpenSSL рекомендуется обновить программное обеспечение, чтобы решить указанную проблему. Необходимо перезапустить все службы, использующие библиотеку OpenSSL, или перезагрузить систему, чтобы изменения вступили в силу.
Обнаружено, что библиотека OpenSSL некорректно инициализирует свое внутреннее состояние в функции SSL_library_init() после вызова функции CRYPTO_cleanup_all_ex_data(), что может привести к утечке памяти для каждого последующего SSL-подключения. Эта уязвимость может привести к тому, что серверные приложения, которые вызывают эти функции при перезагрузке, например, комбинация Apache HTTP Server, mod_ssl, PHP и cURL, будут потреблять всю доступную им память, что вызовет отказ в обслуживании. (CVE-2009-4355).
Обнаружено, что браузеры принимают сертификаты с подписью MD2, хотя MD2 не является криптографически стойким алгоритмом шифрования. Эта уязвимость позволяет злоумышленнику создать специальный сертификат, который будет воспринят браузером как доверенный. В текущей версии OpenSSL алгоритм MD2 для цифровых подписей отключен по умолчанию. (CVE-2009-2409)
Пользователям OpenSSL рекомендуется обновить программное обеспечение, чтобы решить указанную проблему. Необходимо перезапустить все службы, использующие библиотеку OpenSSL, или перезагрузить систему, чтобы изменения вступили в силу.
Как исправить
Для устранения уязвимости необходимо установить последнюю версию продукта, соответствующую используемой платформе. Необходимую информацию можно получить по адресу:
https://rhn.redhat.com/errata/RHSA-2010-0054.html
https://rhn.redhat.com/errata/RHSA-2010-0054.html
Ссылки
https://rhn.redhat.com/errata/RHSA-2010-0054.html
CVE (CVE-2009-2409): https://www.redhat.com/security/data/cve/CVE-2009-2409.html
CVE (CVE-2009-4355): https://www.redhat.com/security/data/cve/CVE-2009-4355.html
BUGZILLA (510197): http://bugzilla.redhat.com/510197
BUGZILLA (546707): http://bugzilla.redhat.com/546707
Источник: CVE
Наименование: CVE-2009-2409
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-2409
Источник: CVE
Наименование: CVE-2009-4355
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-4355
CVE (CVE-2009-2409): https://www.redhat.com/security/data/cve/CVE-2009-2409.html
CVE (CVE-2009-4355): https://www.redhat.com/security/data/cve/CVE-2009-4355.html
BUGZILLA (510197): http://bugzilla.redhat.com/510197
BUGZILLA (546707): http://bugzilla.redhat.com/546707
Источник: CVE
Наименование: CVE-2009-2409
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-2409
Источник: CVE
Наименование: CVE-2009-4355
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-4355
