CVE-2019-1559
Orta
Açıklama
Bir uygulama kritik bir protokol hatasıyla karşılaştığında ve ardından SSL_shutdown() fonksiyonunu iki kez çağırırsa (bir kez close_notify göndermek ve bir kez almak için), geçersiz dolguya sahip 0 baytlık bir kayıt alındığında OpenSSL'in çağıran uygulamaya verdiği yanıt, geçersiz bir MAC ile 0 baytlık bir kayıt alındığındaki yanıttan farklı olabilir. Eğer uygulama buna dayanarak uzak uç tarafından tespit edilebilecek şekilde farklı davranırsa, bu durum verileri şifre çözmek için kullanılabilecek bir padding oracle oluşturur. Bunun istismar edilebilmesi için "non-stitched" şifreleme paketlerinin (ciphersuites) kullanımda olması gerekir. Stitched şifreleme paketleri, yaygın olarak kullanılan belirli şifreleme paketlerinin optimize edilmiş uygulamalarıdır. Ayrıca uygulamanın, bir protokol hatası meydana gelmiş olsa bile SSL_shutdown() fonksiyonunu iki kez çağırması gerekir (uygulamalar bunu yapmamalıdır ancak bazıları yine de yapar). OpenSSL 1.0.2r sürümünde düzeltildi (Etkilenen sürümler: 1.0.2-1.0.2q).
ÖnemOrta
CVSS5.9
İstismar olasılığı—
Ürün
Openssl
Yayın27 Şub 2019
İlk görülme27 Şub 2019
Nasıl düzeltilir
Güncelleyin
- openssl openssl1.0.2r ya da sonraki bir sürüm
- mcafee data_exchange_layer6.0.0 ya da sonraki bir sürüm
- mcafee threat_intelligence_exchange_server3.0.0 ya da sonraki bir sürüm
- mcafee web_gateway9.0.0 ya da sonraki bir sürüm
- paloaltonetworks pan-os7.1.15, 8.0.20, 8.1.8, 9.0.2 ya da sonraki bir sürüm
- nodejs node.js6.17.0, 8.15.1 ya da sonraki bir sürüm
Üretici duyuruları
- security.gentoo.org/glsa/201903-10
- usn.ubuntu.com/3899-1/
- debian.org/security/2019/dsa-4400
- access.redhat.com/errata/RHSA-2019:2304
- access.redhat.com/errata/RHSA-2019:2439
- access.redhat.com/errata/RHSA-2019:2437
- access.redhat.com/errata/RHSA-2019:2471
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/EWC42UXL5GHTU5G77VKBF6JYUUNGSHOM/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/ZBEV5QGDRFUZDMNECFXUSN5FMYOZDE4V/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/Y3IVFGSERAZLNJCK35TEM2R4726XIH3Z/
- access.redhat.com/errata/RHSA-2019:3929
- access.redhat.com/errata/RHSA-2019:3931
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| openssl openssl | 1.0.2 ≤ v < 1.0.2r | 1.0.2r |
| canonical ubuntu_linux | 16.04, 18.04, 18.10 | — |
| debian debian_linux | 8.0, 9.0 | — |
| netapp active_iq_unified_manager | 7.3 ≤ v, 9.5 ≤ v, Aralık belirtilmemiş | — |
| netapp altavault | Aralık belirtilmemiş | — |
| netapp cloud_backup | Aralık belirtilmemiş | — |
| netapp clustered_data_ontap_antivirus_connector | Aralık belirtilmemiş | — |
| netapp element_software | Aralık belirtilmemiş | — |
| netapp hci_management_node | Aralık belirtilmemiş | — |
| netapp hyper_converged_infrastructure | Aralık belirtilmemiş | — |
| netapp oncommand_insight | Aralık belirtilmemiş | — |
| netapp oncommand_unified_manager | Aralık belirtilmemiş | — |
| netapp oncommand_unified_manager_core_package | Aralık belirtilmemiş | — |
| netapp oncommand_workflow_automation | Aralık belirtilmemiş | — |
| netapp ontap_select_deploy | Aralık belirtilmemiş | — |
| netapp ontap_select_deploy_administration_utility | Aralık belirtilmemiş | — |
| netapp santricity_smi-s_provider | Aralık belirtilmemiş | — |
| netapp service_processor | Aralık belirtilmemiş | — |
| netapp smi-s_provider | Aralık belirtilmemiş | — |
| netapp snapcenter | Aralık belirtilmemiş | — |
| netapp snapdrive | Aralık belirtilmemiş | — |
| netapp snapprotect | Aralık belirtilmemiş | — |
| netapp solidfire | Aralık belirtilmemiş | — |
| netapp steelstore_cloud_integrated_storage | Aralık belirtilmemiş | — |
| netapp storage_automation_store | Aralık belirtilmemiş | — |
| netapp storagegrid | 9.0.0 ≤ v ≤ 9.0.4, Aralık belirtilmemiş | — |
| netapp hci_compute_node | Aralık belirtilmemiş | — |
| f5 big-ip_access_policy_manager | 12.1.0 ≤ v ≤ 12.1.5, 13.0.0 ≤ v ≤ 13.1.3, 14.0.0 ≤ v ≤ 14.1.2, 15.0.0 ≤ v ≤ 15.1.0 | — |
| f5 big-ip_advanced_firewall_manager | 12.1.0 ≤ v ≤ 12.1.5, 13.0.0 ≤ v ≤ 13.1.3, 14.0.0 ≤ v ≤ 14.1.2, 15.0.0 ≤ v ≤ 15.1.0 | — |
| f5 big-ip_analytics | 12.1.0 ≤ v ≤ 12.1.5, 13.0.0 ≤ v ≤ 13.1.3, 14.0.0 ≤ v ≤ 14.1.2, 15.0.0 ≤ v ≤ 15.1.0 | — |
| f5 big-ip_application_acceleration_manager | 12.1.0 ≤ v ≤ 12.1.5, 13.0.0 ≤ v ≤ 13.1.3, 14.0.0 ≤ v ≤ 14.1.2, 15.0.0 ≤ v ≤ 15.1.0 | — |
| f5 big-ip_application_security_manager | 12.1.0 ≤ v ≤ 12.1.5, 13.0.0 ≤ v ≤ 13.1.3, 14.0.0 ≤ v ≤ 14.1.2, 15.0.0 ≤ v ≤ 15.1.0 | — |
| f5 big-ip_domain_name_system | 12.1.0 ≤ v ≤ 12.1.5, 13.0.0 ≤ v ≤ 13.1.3, 14.0.0 ≤ v ≤ 14.1.2, 15.0.0 ≤ v ≤ 15.1.0 | — |
| f5 big-ip_edge_gateway | 12.1.0 ≤ v ≤ 12.1.5, 13.0.0 ≤ v ≤ 13.1.3, 14.0.0 ≤ v ≤ 14.1.2, 15.0.0 ≤ v ≤ 15.1.0 | — |
| f5 big-ip_fraud_protection_service | 12.1.0 ≤ v ≤ 12.1.5, 13.0.0 ≤ v ≤ 13.1.3, 14.0.0 ≤ v ≤ 14.1.2, 15.0.0 ≤ v ≤ 15.1.0 | — |
| f5 big-ip_global_traffic_manager | 12.1.0 ≤ v ≤ 12.1.5, 13.0.0 ≤ v ≤ 13.1.3, 14.0.0 ≤ v ≤ 14.1.2, 15.0.0 ≤ v ≤ 15.1.0 | — |
| f5 big-ip_link_controller | 12.1.0 ≤ v ≤ 12.1.5, 13.0.0 ≤ v ≤ 13.1.3, 14.0.0 ≤ v ≤ 14.1.2, 15.0.0 ≤ v ≤ 15.1.0 | — |
| f5 big-ip_local_traffic_manager | 12.1.0 ≤ v ≤ 12.1.5, 13.0.0 ≤ v ≤ 13.1.3, 14.0.0 ≤ v ≤ 14.1.2, 15.0.0 ≤ v ≤ 15.1.0 | — |
| f5 big-ip_policy_enforcement_manager | 12.1.0 ≤ v ≤ 12.1.5, 13.0.0 ≤ v ≤ 13.1.3, 14.0.0 ≤ v ≤ 14.1.2, 15.0.0 ≤ v ≤ 15.1.0 | — |
| f5 big-ip_webaccelerator | 12.1.0 ≤ v ≤ 12.1.5, 13.0.0 ≤ v ≤ 13.1.3, 14.0.0 ≤ v ≤ 14.1.2, 15.0.0 ≤ v ≤ 15.1.0 | — |
| f5 big-iq_centralized_management | 6.0.0 ≤ v ≤ 6.1.0, 7.0.0 ≤ v ≤ 7.1.0 | — |
| f5 traffix_signaling_delivery_controller | 5.0.0 ≤ v ≤ 5.1.0, 4.4.0 | — |
| tenable nessus | v ≤ 8.2.3 | — |
| opensuse leap | 15.0, 15.1, 42.3 | — |
| netapp cn1610_firmware | Aralık belirtilmemiş | — |
| netapp a320_firmware | Aralık belirtilmemiş | — |
| netapp c190_firmware | Aralık belirtilmemiş | — |
| netapp a220_firmware | Aralık belirtilmemiş | — |
| netapp fas2720_firmware | Aralık belirtilmemiş | — |
| netapp fas2750_firmware | Aralık belirtilmemiş | — |
| netapp a800_firmware | Aralık belirtilmemiş | — |
| fedoraproject fedora | 29, 30, 31 | — |
| mcafee agent | 5.6.0 ≤ v ≤ 5.6.4 | — |
| mcafee data_exchange_layer | 4.0.0 ≤ v < 6.0.0 | 6.0.0 |
| mcafee threat_intelligence_exchange_server | 2.0.0 ≤ v < 3.0.0 | 3.0.0 |
| mcafee web_gateway | 7.0.0 ≤ v < 9.0.0 | 9.0.0 |
| redhat jboss_enterprise_web_server | 5.0.0 | — |
| redhat virtualization | 4.0 | — |
| redhat virtualization_host | 4.0 | — |
| redhat enterprise_linux_desktop | 6.0, 7.0 | — |
| redhat enterprise_linux_server | 6.0, 7.0 | — |
| redhat enterprise_linux_workstation | 6.0, 7.0 | — |
| oracle api_gateway | 11.1.2.4.0 | — |
| oracle business_intelligence | 11.1.1.9.0, 12.2.1.3.0, 12.2.1.4.0 | — |
| oracle communications_diameter_signaling_router | 8.0.0, 8.1, 8.2, 8.3, 8.4 | — |
| oracle communications_performance_intelligence_center | 10.4.0.2 | — |
| oracle communications_session_border_controller | 7.4, 8.0.0, 8.1.0, 8.2, 8.3 | — |
| oracle communications_session_router | 7.4, 8.0, 8.1, 8.2, 8.3 | — |
| oracle communications_unified_session_manager | 7.3.5, 8.2.5 | — |
| oracle endeca_server | 7.7.0 | — |
| oracle enterprise_manager_base_platform | 12.1.0.5.0, 13.2.0.0.0, 13.3.0.0.0 | — |
| oracle enterprise_manager_ops_center | 12.3.3, 12.4.0 | — |
| oracle jd_edwards_enterpriseone_tools | 9.2 | — |
| oracle jd_edwards_world_security | a9.3, a9.3.1, a9.4 | — |
| oracle mysql | 5.6.0 ≤ v ≤ 5.6.43, 5.7.0 ≤ v ≤ 5.7.25, 8.0.0 ≤ v ≤ 8.0.15 | — |
| oracle mysql_enterprise_monitor | v ≤ 4.0.8, 8.0.0 ≤ v ≤ 8.0.14 | — |
| oracle mysql_workbench | v ≤ 8.0.16 | — |
| oracle peoplesoft_enterprise_peopletools | 8.55, 8.56, 8.57 | — |
| oracle secure_global_desktop | 5.4 | — |
| oracle services_tools_bundle | 19.2 | — |
| paloaltonetworks pan-os | 7.1.0 ≤ v < 7.1.15, 8.0.0 ≤ v < 8.0.20, 8.1.0 ≤ v < 8.1.8, 9.0.0 ≤ v < 9.0.2 | 7.1.15, 8.0.20, 8.1.8, 9.0.2 |
| nodejs node.js | 6.0.0 ≤ v ≤ 6.8.1, 6.9.0 ≤ v < 6.17.0, 8.0.0 ≤ v ≤ 8.8.1, 8.9.0 ≤ v < 8.15.1 | 6.17.0, 8.15.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Intelligence 360 paketinde
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.