CVE-2009-3555
Təsvir
Microsoft Internet Information Services (IIS) 7.0, Apache HTTP Server 2.2.14 və daha əvvəlki versiyalarda mod_ssl, 0.9.8l versiyasından əvvəlki OpenSSL, GnuTLS 2.8.5 və daha əvvəlki versiyalar, Mozilla Network Security Services (NSS) 3.12.4 və daha əvvəlki versiyalar, çox sayda Cisco məhsulu və digər məhsullarda istifadə olunan TLS protokolu ilə SSL 3.0 və bəlkə də daha erkən protokolları yenidən danışıqları (renegotiation handshakes) mövcud bağlantı ilə düzgün şəkildə əlaqələndirmir. Bu, "man-in-the-middle" hücumçularına, server tərəfindən yenidən danışıqlardan sonrakı kontekstdə retroaktiv olaraq emal edilən autentifikasiya olunmamış sorğu göndərməklə, HTTPS sessiyalarına və bəlkə də TLS və ya SSL ilə qorunan digər növ sessiyalara məlumat yerləşdirməyə imkan verir ki, bu da "plaintext injection" hücumu, yaxud "Project Mogul" problemi ilə əlaqədardır.
Necə düzəltmək olar
- org.apache.tomcat:tomcat7.0.10, 6.0.32, 5.5.33 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| apache http_server | v ≤ 2.2.14 | — |
| gnu gnutls | v ≤ 2.8.5 | — |
| mozilla nss | v ≤ 3.12.4 | — |
| openssl openssl | v ≤ 0.9.8k, 1.0 | — |
| canonical ubuntu_linux | 8.04, 8.10, 9.04, 9.10, 10.04, 10.10 | — |
| debian debian_linux | 4.0, 5.0, 6.0, 7.0, 8.0 | — |
| fedoraproject fedora | 11, 12, 13, 14 | — |
| f5 nginx | 0.1.0 ≤ v ≤ 0.8.22 | — |
| org.apache.tomcat:tomcatMaven | 7.0.0 ≤ v < 7.0.10, 6.0.0 ≤ v < 6.0.32, 5.0.0 ≤ v < 5.5.33 | 7.0.10, 6.0.32, 5.5.33 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.