BDU:2015-00125 (CVE-2014-0224)

Уязвимость программного обеспечения Cisco ACE, позволяющая злоумышленнику перехватить сессию

Опубликовано: 2016-07-06

Описание

Уязвимость существует в OpenSSL из-за некорректного ограничения обработки сообщений ChangeCipherSpec. Эксплуатация данной уязвимости позволяет злоумышленнику, действующему по принципу "человек посередине", спровоцировать использование пустого (нулевой длины) мастер-ключа в передаче данных OpenSSL-to-OpenSSL с последующим перехватом сессии или получением доступа к конфиденциальной информации при помощи специально сформированного TLS-квитирования (handshake). Данная уязвимость также известна под названием "Внедрение CCS".

Затрагиваемое ПО и версии

Application Control Engine Module (от A1(7.0) до A3(2.7) включительно)Application Control Engine Module (от A4(1.0) до A4(2.3) включительно)Application Control Engine Module (от A5(1.0) до A5(3.0.31))

Способ устранения

Использование рекомендаций производителя:
http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20140605-openssl

Оценка CVSS

Балл	4.3 — средняя опасность

Источники и патчи

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-0224 CISCO (CSCup28056):http://tools.cisco.com/Support/BugToolKit/search/getBugDetails.do?method=fetchBugDetails&bugId=CSCup28056 CISCO (CSCup22544):http://tools.cisco.com/Support/BugToolKit/search/getBugDetails.do?method=fetchBugDetails&bugId=CSCup22544 CISCO (CSCup22532):http://tools.cisco.com/Support/BugToolKit/search/getBugDetails.do?method=fetchBugDetails&bugId=CSCup22532 CISCO (CSCup21571):http://tools.cisco.com/Support/BugToolKit/search/getBugDetails.do?method=fetchBugDetails&bugId=CSCup21571

Проверьте безопасность своего сайта и почты → Полная проверка домена