OpenSSL _ssl3_get_key_exchange_函数加密问题漏洞
- 0关注
- 1收藏，1437浏览
问题描述：
Comware V7设备是否涉及OpenSSL ‘ssl3_get_key_exchange’函数加密问题漏洞(CVE-2015-0204)，CVE-2015-0204OpenSSLOpenSSL是OpenSSL团队开发的一个开源的能够实现安全套接层（SSL v2/v3）和安全传输层（TLS v1）协议的通用加密库，它支持多种加密算法，包括对称密码、哈希算法、安全散列算法等。 OpenSSL的s3_clnt.c文件中的’ssl3_get_key_exchange‘函数存在安全漏洞。远程攻击者可通过提供临时的RSA密钥利用该漏洞实施RSA-to-EXPORT_RSA降级攻击，加快暴力破解进度。以下版本受到影响：OpenSSL 0.9.8zd之前版本，1.0.0p之前1.0.0版本，1.0.1k之前1.0.1版本。
组网及组网描述：
- 2022-07-18提问
- 举报
-
(0)
最佳答案
漏洞相关信息
漏洞描述
FREAK攻击全称为Factoring RSA Export Keys，即分解RSA导出密钥攻击。 该攻击利用废弃许久的“出口级”加密套件，目前仍有很多SSL/TLS服务器端及客户端仍然支持此类连接。 利用该漏洞攻击者可以劫持存在漏洞的客户端与存在漏洞的服务端之间的会话，从而进行中间人攻击。
漏洞解决方案
升级2021年年度版本或更新版本后，参照SSL/TLS 受诫礼(BAR-MITZVAH)攻击漏洞(CVE-2015-2808)解决方法进行修复（链接如下：https://zhiliao.h3c.com/Theme/details/130547 ），其中加密套件禁用如下三种：
exp_rsa_des_cbc_sha
exp_rsa_rc2_md5
exp_rsa_rc4_md5
- 2022-07-18回答
- 评论(1)
- 举报
-
(0)
不涉及这几个加密套件，现在用的ecdhe_ecdsa_aes_256_gcm_sha384 和ecdhe_rsa_aes_256_gcm_sha384
您好，不涉及
- 2022-07-18回答
- 评论(1)
- 举报
-
(0)
有明确的结论的说法吗？
有明确的结论的说法吗？
编辑答案
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明
不涉及这几个加密套件，现在用的ecdhe_ecdsa_aes_256_gcm_sha384 和ecdhe_rsa_aes_256_gcm_sha384