BDU:2022-02639

Опубликовано: 12 июн. 2015

Источник: fstec

CVSS3: 7.3

CVSS2: 7.5

EPSS Средний

Описание

Уязвимость функции dtls1_clear_queues библиотеки OpenSSL вызвана переполнением буфера. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании или, возможно, оказать другое воздействие

Вендор

Canonical Ltd.

Red Hat Inc.

Сообщество свободного программного обеспечения

OpenSSL Software Foundation

Наименование ПО

Ubuntu

Red Hat Enterprise Linux

Debian GNU/Linux

OpenSSL

Версия ПО

14.10 (Ubuntu)

6 (Red Hat Enterprise Linux)

7 (Red Hat Enterprise Linux)

12.04 (Ubuntu)

15.04 (Ubuntu)

9 (Debian GNU/Linux)

14.04 ESM (Ubuntu)

8 (Debian GNU/Linux)

10 (Debian GNU/Linux)

7 (Debian GNU/Linux)

11 (Debian GNU/Linux)

1.0.1c (OpenSSL)

1.0.1d (OpenSSL)

1.0.1e (OpenSSL)

1.0.1f (OpenSSL)

1.0.1a (OpenSSL)

1.0.1b (OpenSSL)

1.0.1 (OpenSSL)

1.0.1g (OpenSSL)

6 (Debian GNU/Linux)

до 0.9.8z включительно (OpenSSL)

1.0.0a (OpenSSL)

1.0.0b (OpenSSL)

1.0.0c (OpenSSL)

1.0.0j (OpenSSL)

1.0.0k (OpenSSL)

1.0.0beta4 (OpenSSL)

1.0.0beta5 (OpenSSL)

1.0.0h (OpenSSL)

1.0.0i (OpenSSL)

1.0.1beta3 (OpenSSL)

1.0.0beta2 (OpenSSL)

1.0.0beta3 (OpenSSL)

1.0.0f (OpenSSL)

1.0.0g (OpenSSL)

1.0.1beta1 (OpenSSL)

1.0.1beta2 (OpenSSL)

1.0.0 (OpenSSL)

1.0.0beta1 (OpenSSL)

1.0.0d (OpenSSL)

1.0.0e (OpenSSL)

1.0.0l (OpenSSL)

Тип ПО

Операционная система

Программное средство защиты

Операционные системы и аппаратные платформы

Canonical Ltd. Ubuntu 14.10

Red Hat Inc. Red Hat Enterprise Linux 6

Red Hat Inc. Red Hat Enterprise Linux 7

Canonical Ltd. Ubuntu 12.04

Canonical Ltd. Ubuntu 15.04

Сообщество свободного программного обеспечения Debian GNU/Linux 9

Canonical Ltd. Ubuntu 14.04 ESM

Сообщество свободного программного обеспечения Debian GNU/Linux 8

Сообщество свободного программного обеспечения Debian GNU/Linux 10

Сообщество свободного программного обеспечения Debian GNU/Linux 7

Сообщество свободного программного обеспечения Debian GNU/Linux 11

Сообщество свободного программного обеспечения Debian GNU/Linux 6

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,5)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,3)

Возможные меры по устранению уязвимости

Использование рекомендаций:

https://www.openssl.org/news/secadv_20150611.txt

Для программных продуктов Red Hat Inc.:

https://access.redhat.com/hydra/rest/securitydata/cve/CVE-2014-8176.xml

Для Ubuntu:

https://ubuntu.com/security/CVE-2014-8176

Для Debian GNU/Linux:

https://security-tracker.debian.org/tracker/CVE-2014-8176

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-8176
CVE

EPSS

Процентиль: 95%

0.18653

Средний

7.3 High

CVSS3

7.5 High

CVSS2

Связанные уязвимости

CVE-2014-8176

ubuntu

около 10 лет назад

The dtls1_clear_queues function in ssl/d1_lib.c in OpenSSL before 0.9.8za, 1.0.0 before 1.0.0m, and 1.0.1 before 1.0.1h frees data structures without considering that application data can arrive between a ChangeCipherSpec message and a Finished message, which allows remote DTLS peers to cause a denial of service (memory corruption and application crash) or possibly have unspecified other impact via unexpected application data.