Карточка уязвимости
Характеристики уязвимости
Уровень опасности
Оценка CVSS
(AV:N/AC:L/Au:N/C:N/I:N/A:P)
Производитель ПО
Наименование ПО
Описание
OpenSSL - это набор инструментов, реализующий протоколы SSL v2/v3 и TLS v1, а также надежную, универсальную криптографическую библиотеку.
Уязвимость разыменования нулевого указателя существует в OpenSSL и связана с проверкой подписей, созданных при помощи алгоритма RSA PSS. Эксплуатация данной уязвимости позволяет злоумышленникам вызвать аварийное завершение работы клиента или сервера TLS/SSL, использующего OpenSSL, если поддерживается аутентификация клиентов. (CVE-2015-3194)
Уязвимость утечки памяти существует в OpenSSL и связана с обработкой данных PKCS#7 и CMS. Эксплуатация данной уязвимости позволяет злоумышленникам вызвать чрезмерное потребление ресурсов памяти и аварийное завершение работы приложения, обрабатывающего данные PKCS#7 и CMS, полученные из непроверенных источников. (CVE-2015-3195)
Уязвимость состояния гонки, приводящая к двойному освобождению, существует в
OpenSSL и связана с обработкой подсказок для предварительно согласованных ключей (PSK). Эксплуатация данной уязвимости позволяет злоумышленникам вызвать аварийное завершение работы многопоточного SSL/TLS-клиента, используя OpenSSL. (CVE-2015-3196)
Для устранения уязвимостей пользователям openssl необходимо обновить систему, используя данные пакеты с бэкпортироваными исправлениями. Чтобы обновления вступили в силу, необходимо перезапустить все службы, связанные с библиотекой OpenSSL, или перезагрузить систему.
Уязвимость разыменования нулевого указателя существует в OpenSSL и связана с проверкой подписей, созданных при помощи алгоритма RSA PSS. Эксплуатация данной уязвимости позволяет злоумышленникам вызвать аварийное завершение работы клиента или сервера TLS/SSL, использующего OpenSSL, если поддерживается аутентификация клиентов. (CVE-2015-3194)
Уязвимость утечки памяти существует в OpenSSL и связана с обработкой данных PKCS#7 и CMS. Эксплуатация данной уязвимости позволяет злоумышленникам вызвать чрезмерное потребление ресурсов памяти и аварийное завершение работы приложения, обрабатывающего данные PKCS#7 и CMS, полученные из непроверенных источников. (CVE-2015-3195)
Уязвимость состояния гонки, приводящая к двойному освобождению, существует в
OpenSSL и связана с обработкой подсказок для предварительно согласованных ключей (PSK). Эксплуатация данной уязвимости позволяет злоумышленникам вызвать аварийное завершение работы многопоточного SSL/TLS-клиента, используя OpenSSL. (CVE-2015-3196)
Для устранения уязвимостей пользователям openssl необходимо обновить систему, используя данные пакеты с бэкпортироваными исправлениями. Чтобы обновления вступили в силу, необходимо перезапустить все службы, связанные с библиотекой OpenSSL, или перезагрузить систему.
Как исправить
Перед установкой данного обновления убедитесь, что все ранее выпущенные исправления присутствуют в системе.
Данное обновление доступно на сервере Red Hat Network. Подробная информация по установке данного обновления представлена на https://access.redhat.com/knowledge/articles/11258.
Данное обновление доступно на сервере Red Hat Network. Подробная информация по установке данного обновления представлена на https://access.redhat.com/knowledge/articles/11258.
Ссылки
https://rhn.redhat.com/errata/RHSA-2015-2617.html
Источник: CVE
Наименование: CVE-2015-3194
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-3194
Источник: CVE
Наименование: CVE-2015-3195
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-3195
Источник: CVE
Наименование: CVE-2015-3196
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-3196
Источник: CVE
Наименование: CVE-2015-3194
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-3194
Источник: CVE
Наименование: CVE-2015-3195
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-3195
Источник: CVE
Наименование: CVE-2015-3196
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-3196
