OpenSSL Security Advisory - POODLE

조회 수 6247 2014.10.16 11:35:30
OpenSSL Security Advisory [15 Oct 2014]
=======================================

SRTP Memory Leak (CVE-2014-3513)
================================

Severity: High

A flaw in the DTLS SRTP extension parsing code allows an attacker, who
sends a carefully crafted handshake message, to cause OpenSSL to fail
to free up to 64k of memory causing a memory leak. This could be
exploited in a Denial Of Service attack. This issue affects OpenSSL
1.0.1 server implementations for both SSL/TLS and DTLS regardless of
whether SRTP is used or configured. Implementations of OpenSSL that
have been compiled with OPENSSL_NO_SRTP defined are not affected.

OpenSSL 1.0.1 users should upgrade to 1.0.1j.

This issue was reported to OpenSSL on 26th September 2014, based on an original
issue and patch developed by the LibreSSL project. Further analysis of the issue
was performed by the OpenSSL team.

The fix was developed by the OpenSSL team.


Session Ticket Memory Leak (CVE-2014-3567)
==========================================

Severity: Medium

When an OpenSSL SSL/TLS/DTLS server receives a session ticket the
integrity of that ticket is first verified. In the event of a session
ticket integrity check failing, OpenSSL will fail to free memory
causing a memory leak. By sending a large number of invalid session
tickets an attacker could exploit this issue in a Denial Of Service
attack.

OpenSSL 1.0.1 users should upgrade to 1.0.1j.
OpenSSL 1.0.0 users should upgrade to 1.0.0o.
OpenSSL 0.9.8 users should upgrade to 0.9.8zc. 

This issue was reported to OpenSSL on 8th October 2014.

The fix was developed by Stephen Henson of the OpenSSL core team.


SSL 3.0 Fallback protection
===========================

Severity: Medium

OpenSSL has added support for TLS_FALLBACK_SCSV to allow applications
to block the ability for a MITM attacker to force a protocol
downgrade.

Some client applications (such as browsers) will reconnect using a
downgraded protocol to work around interoperability bugs in older
servers. This could be exploited by an active man-in-the-middle to
downgrade connections to SSL 3.0 even if both sides of the connection
support higher protocols. SSL 3.0 contains a number of weaknesses
including POODLE (CVE-2014-3566).

OpenSSL 1.0.1 users should upgrade to 1.0.1j.
OpenSSL 1.0.0 users should upgrade to 1.0.0o.
OpenSSL 0.9.8 users should upgrade to 0.9.8zc. 

https://tools.ietf.org/html/draft-ietf-tls-downgrade-scsv-00
https://www.openssl.org/~bodo/ssl-poodle.pdf

Support for TLS_FALLBACK_SCSV was developed by Adam Langley and Bodo Moeller.


Build option no-ssl3 is incomplete (CVE-2014-3568)
==================================================

Severity: Low

When OpenSSL is configured with "no-ssl3" as a build option, servers
could accept and complete a SSL 3.0 handshake, and clients could be
configured to send them.

OpenSSL 1.0.1 users should upgrade to 1.0.1j.
OpenSSL 1.0.0 users should upgrade to 1.0.0o.
OpenSSL 0.9.8 users should upgrade to 0.9.8zc. 

This issue was reported to OpenSSL by Akamai Technologies on 14th October 2014.

The fix was developed by Akamai and the OpenSSL team.


References
==========

URL for this Security Advisory:
https://www.openssl.org/news/secadv_20141015.txt

Note: the online version of the advisory may be updated with additional
details over time.

For details of OpenSSL severity classifications please see:
https://www.openssl.org/about/secpolicy.html

Nsoll 전문가들의 똑소리나는 서비스
List of Articles
번호 제목 이름 날짜
29 한컴오피스 4월 정기 보안 업데이트 권고 (주)엔솔시스템즈 2016-04-15
28 Samba 취약점 보안 업데이트 권고 (주)엔솔시스템즈 2016-04-15
27 MS 4월 보안 위협에 따른 정기 보안 업데이트 권고 (주)엔솔시스템즈 2016-04-15
26 2015년 10월 마이크로소프트 보안 공지 (주)엔솔시스템즈 2015-10-22
25 2015년 9월 마이크로소프트 보안 공지 (주)엔솔시스템즈 2015-09-11
24 2015년 8월 마이크로소프트 보안 공지 (주)엔솔시스템즈 2015-08-15
23 2015년 7월 마이크로소프트 보안 공지 (주)엔솔시스템즈 2015-07-17
22 2015년 6월 마이크로소프트 보안 공지 (주)엔솔시스템즈 2015-06-15
21 Windows 2008 R2, 2012 자동 reboot, 블루스크린 발생 현상 (주)엔솔시스템즈 2015-06-11
20 2015년 5월 마이크로소프트 보안 공지 (주)엔솔시스템즈 2015-05-17
19 2015년 3월 마이크로소프트 보안 공지 (주)엔솔시스템즈 2015-03-13
18 CVE-2015-0235 Ghost 취약점 (주)엔솔시스템즈 2015-01-29
» OpenSSL Security Advisory - POODLE (주)엔솔시스템즈 2014-10-16
16 2014년 9월 마이크로소프트 보안 공지 (주)엔솔시스템즈 2014-09-11
15 2014년 8월 마이크로소프트 보안 공지 (주)엔솔시스템즈 2014-08-19
14 2014년 7월 마이크로소프트 보안 공지 (주)엔솔시스템즈 2014-07-14
13 2014년 6월 마이크로소프트 보안 공지 (주)엔솔시스템즈 2014-06-13
12 2014년 5월 마이크로소프트 보안 공지 (주)엔솔시스템즈 2014-05-16
11 2014년 4월 마이크로소프트 보안 공지 (주)엔솔시스템즈 2014-04-12
10 2014년 3월 마이크로소프트 보안공지 (주)엔솔시스템즈 2014-03-14
9 2014년 2월 마이크로소프트 보안공지 (주)엔솔시스템즈 2014-02-13
8 2014년 1월 마이크로소프트 보안 공지 (주)엔솔시스템즈 2014-01-16
7 2013년 12월 마이크로소프트 보안 공지 (주)엔솔시스템즈 2013-12-12
6 2013년 11월 마이크로소프트 보안 공지 (주)엔솔시스템즈 2013-11-14
5 2013년 10월 마이크로소프트 보안 공지 (주)엔솔시스템즈 2013-10-10
4 2013년 9월 마이크로소프트 보안 공지 (주)엔솔시스템즈 2013-09-12
3 2013년 8월 마이크로소프트 보안 공지 (주)엔솔시스템즈 2013-08-16
2 2013년 7월 마이크로소프트 보안 공지 (주)엔솔시스템즈 2013-07-11
1 2013년 6월 마이크로소프트 보안 공지 (주)엔솔시스템즈 2013-06-12