BDU:2015-00651

Опубликовано: 06 авг. 2014

Источник: fstec

CVSS2: 4.3

EPSS Средний

Описание

Уязвимость в функции ssl_set_client_disabled в t1_lib.c в OpenSSL позволяет удаленным SSL-серверам вызвать отказ в обслуживании (разыменование нулевого указателя и аварийное завершение работы клиентского приложения) при помощи сообщения ServerHello, в которое включается криптопакет SRP без его согласования с клиентом.

Вендор

OpenSSL Software Foundation

Наименование ПО

OpenSSL

Версия ПО

от 1.0.1 до 1.0.1i (OpenSSL)

Тип ПО

Программное средство защиты

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 4,3)

Возможные меры по устранению уязвимости

Для устранения уязвимости необходимо установить последнюю версию продукта, соответствующую используемой платформе. Необходимую информацию можно получить по адресу:

http://www.openssl.org/

Статус уязвимости

Потенциальная уязвимость

Наличие эксплойта

Данные уточняются

Информация об устранении

Информация об устранении отсутствует

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-5139
CVE

EPSS

Процентиль: 95%

0.21313

Средний

4.3 Medium

CVSS2

Связанные уязвимости

CVE-2014-5139

ubuntu

почти 11 лет назад

The ssl_set_client_disabled function in t1_lib.c in OpenSSL 1.0.1 before 1.0.1i allows remote SSL servers to cause a denial of service (NULL pointer dereference and client application crash) via a ServerHello message that includes an SRP ciphersuite without the required negotiation of that ciphersuite with the client.