CVE-2009-3555
Açıklama
Microsoft Internet Information Services (IIS) 7.0, Apache HTTP Server 2.2.14 ve öncesindeki mod_ssl, 0.9.8l öncesi OpenSSL, GnuTLS 2.8.5 ve öncesi, Mozilla Network Security Services (NSS) 3.12.4 ve öncesi, çok sayıda Cisco ürünü ve diğer ürünlerde kullanılan TLS protokolü ile SSL 3.0 ve muhtemelen daha önceki sürümler, yeniden müzakere el sıkışmalarını mevcut bir bağlantıyla düzgün şekilde ilişkilendirmemektedir; bu durum, ortadaki adam (man-in-the-middle) saldırganlarının, sunucu tarafından yeniden müzakere sonrası bağlamda geriye dönük olarak işlenen kimlik doğrulanmamış bir istek göndererek HTTPS oturumlarına ve muhtemelen TLS veya SSL ile korunan diğer oturum türlerine veri eklemesine olanak tanır. Bu durum, "plaintext injection" saldırısı ile ilgili olup "Project Mogul" sorunu olarak da bilinmektedir.
Nasıl düzeltilir
- org.apache.tomcat:tomcat7.0.10, 6.0.32, 5.5.33 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache http_server | v ≤ 2.2.14 | — |
| gnu gnutls | v ≤ 2.8.5 | — |
| mozilla nss | v ≤ 3.12.4 | — |
| openssl openssl | v ≤ 0.9.8k, 1.0 | — |
| canonical ubuntu_linux | 8.04, 8.10, 9.04, 9.10, 10.04, 10.10 | — |
| debian debian_linux | 4.0, 5.0, 6.0, 7.0, 8.0 | — |
| fedoraproject fedora | 11, 12, 13, 14 | — |
| f5 nginx | 0.1.0 ≤ v ≤ 0.8.22 | — |
| org.apache.tomcat:tomcatMaven | 7.0.0 ≤ v < 7.0.10, 6.0.0 ≤ v < 6.0.32, 5.0.0 ≤ v < 5.5.33 | 7.0.10, 6.0.32, 5.5.33 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.