Уязвимость протокола HTTPS, позволяющая злоумышленникам восстановить секретные значения через анализ длины данных (атака "BREACH")
Описание
Обнаружена уязвимость в реализации протокола HTTPS, используемого в некоторых неуказанных веб-приложениях. Проблема заключается в том, что сжатые данные шифруются без должного сокрытия длины нешифрованных данных. Это облегчает атакующим, выполняющим атаку типа "человек посередине" (man-in-the-middle), получение секретных значений в открытом виде путём наблюдения за различиями в длинах данных в серии попыток, где строка в URL HTTP-запроса потенциально совпадает с неизвестной строкой в теле HTTP-ответа. Данная проблема известна как атака "BREACH" и отличается от CVE-2012-4929.
Заявление
Данная проблема не планируется к устранению в версии httpd, поставляемой с Red Hat Enterprise Linux 5 и 6. Дополнительные подробности и возможные способы смягчения последствий описаны в комментарии к ошибке.
Тип уязвимости
- Раскрытие информации
- Атака "BREACH"
Идентификаторы
- Связанная проблема: CVE-2012-4929 (отличная от данной уязвимости)
Затронутые пакеты
| Платформа | Пакет | Состояние | Рекомендация | Релиз |
|---|---|---|---|---|
| Red Hat Enterprise Linux 5 | httpd | Will not fix | ||
| Red Hat Enterprise Linux 6 | httpd | Will not fix |
Показывать по
Дополнительная информация
Статус:
EPSS
4.3 Medium
CVSS2
Связанные уязвимости
The HTTPS protocol, as used in unspecified web applications, can encrypt compressed data without properly obfuscating the length of the unencrypted data, which makes it easier for man-in-the-middle attackers to obtain plaintext secret values by observing length differences during a series of guesses in which a string in an HTTP request URL potentially matches an unknown string in an HTTP response body, aka a "BREACH" attack, a different issue than CVE-2012-4929.
The HTTPS protocol, as used in unspecified web applications, can encrypt compressed data without properly obfuscating the length of the unencrypted data, which makes it easier for man-in-the-middle attackers to obtain plaintext secret values by observing length differences during a series of guesses in which a string in an HTTP request URL potentially matches an unknown string in an HTTP response body, aka a "BREACH" attack, a different issue than CVE-2012-4929.
The HTTPS protocol, as used in unspecified web applications, can encry ...
The HTTPS protocol, as used in unspecified web applications, can encrypt compressed data without properly obfuscating the length of the unencrypted data, which makes it easier for man-in-the-middle attackers to obtain plaintext secret values by observing length differences during a series of guesses in which a string in an HTTP request URL potentially matches an unknown string in an HTTP response body, aka a "BREACH" attack, a different issue than CVE-2012-4929.
EPSS
4.3 Medium
CVSS2