104 年6 月份偵測弱點掃描之說明與修補 ... -...

104 年 6 月份偵測弱點掃描之說明與修補方式

一、 [79804]CUPS Remote Command Execution via Shellshock

(一) 簡要說明

遠端列印服務存在 Shellshock 弱點，可能遭受 Command

Injection 攻擊。主機上如啟用網頁式介面的 CUPS 服務時，遠

程攻擊者可以在 CUPS 服務於建立或修改列印功能時，執行命

令注入攻擊。

如存在 Bash shell 漏洞的遠端列印主機被啟用時，攻擊者可

由'PRINTER_INFO'和' PRINTER_LOCATION '欄位資訊植入惡

意指令，並提交列印需求給該服務主機，進而執行任意程式碼

獲取主機控制權。

(二) 檢測方法

1. 使用弱點掃描軟體—Nessus檢測

使用Nessus掃描軟體，並且使用Plugin ID79804進行偵測，依

此判斷是否存在此弱點。

(三) 修補方式

請依作業系統修公告更新及修補。

(四) 參考資料

http://seclists.org/oss-sec/2014/q3/650

http://www.nessus.org/u?dacf7829

https://www.invisiblethreat.ca/2014/09/cve-2014-6271/

1

https://www.invisiblethreat.ca/2014/09/cve-2014-6271/

CVE

http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-6271


2



二、 [83992]Splunk Enterprise 5.0.x < 5.0.13 / 6.0.x < 6.0.9 / 6.1.x

< 6.1.8 OpenSSL Vulnerabilities (FREAK)

(一) 簡要說明

安裝版號為 5.0.x 至 5.0.13、6.0.x 至 6.0.9、或 6.1.x 至 6.1.4.

之 Splunk企業版用戶，可能存在著OpenSSL library 相關弱點。

OpenSSL library 存在一個可繞過安全檢查規範的漏洞

(FREAK, Factoring RSA Export Keys)，由於該版本 OpenSSL

library 支援' weak EXPORT_RSA cipher'套件，允許金鑰長度少於

或等於 512 位元，此不安全的套件可能導致網站發生中間人攻

擊(man-in-the-middle attacker)，攻擊者可將用戶訊息竄改，要求

伺服器採用 512 位元 RSA 金鑰，用戶瀏覽器若同意此弱金鑰進

行傳輸時，攻擊者而進行交易時，可於短時間內破解弱金鑰，

取得用戶與網站間的交易資訊。(CVE-2015-0204)

DTLSv1_listen() function 存在相關漏洞，藉由變造 DTLS

traffic 形成封包分段錯誤，使伺服器發生服務阻斷。

(CVE-2015-0207)

rsa_item_verify() function 存在相關漏洞，由於該函式未適

當執行 ASN.1 簽章驗證，遠端攻擊者可透過 RSA PSS 演算法及

不正確的參數設定，造成阻斷式服務攻擊。(CVE-2015-0208)

d2i_ECPrivateKey() function 存在相關漏洞，由於該函式未

適當處理 malformed EC private key 檔案，使攻擊者可操作記憶

體容量，造成阻斷式服務攻擊。(CVE-2015-0209)

ssl3_client_hello() function 存在相關漏洞，由於該函式在

3

handshake 時，未適當驗證 PRNG seed，造成 entropy 亂度不足

迫使產出結果是可預期的，攻擊者可透過中間人攻擊及暴力破

解手法方式迫使加密保護機制失效，取得敏感性資訊。

(CVE-2015-0285)

ASN1_TYPE_cmp() function 存在相關漏洞，由於該函式未

適當執行 boolean-type 比對，遠端攻擊者可變造 X.509 憑證，

造成阻斷式服務攻擊。(CVE-2015-0286)

ASN1_item_ex_d2i() function 存在相關漏洞，由於該函式重

新初始化'CHOICE' and 'ADB' data structures 可能導致失敗，攻

擊者可透過此弱點進行非法寫入造成記憶體中斷，形成阻斷式

服務攻擊。(CVE-2015-0287)

X509_to_X509_REQ() function 存在相關漏洞，由於該函式

未適當處理 certificate keys，遠端攻擊者可變造 X.509 憑證，造

成阻斷式服務攻擊。(CVE-2015-0288)

PKCS#7 parsing code 存在相關漏洞，由於不正確的處理外

部 ContentInfo，攻擊者可使用變造的資料，造成阻斷式服務攻

擊。(CVE-2015-0289)

ssl3_write_bytes() function 存在相關漏洞，由於不正確的處

理特定 non-blocking I/O cases，攻擊者可透過此弱點發送大量失

效連線，造成阻斷式服務攻擊。(CVE-2015-0290)

用戶企圖使用不正確的延伸簽章演算法與伺服器重新溝通

時，一個NULL pointer的弱點可能產生，造成阻斷式服務攻擊。

(CVE-2015-0291)

4

EVP_DecodeUpdate() function 存在相關漏洞，由於該函式

解碼時未先適當驗證 base64 encoded input，攻擊者可採用變造

的 base64 資料造成分段錯誤或記憶體中斷，進而形成阻斷式服

務攻擊，或執行相關程式碼。(CVE-2015-0292)

伺服器同時支援 SSLv2與啟用 export cipher 套件可能存在

相關漏洞，由於未適當執行 SSLv2，遠端攻擊者可透過變造

CLIENT-MASTER-KEY message，形成阻斷式服務攻擊。

(CVE-2015-0293)

ssl3_get_client_key_exchange() function 存在相關漏洞，當

開啟用戶認證及 ephemeral Diffie-Hellman cipher 套件時，遠端

攻擊者可透過藉由發送訊息長度為 0 的 ClientKeyExchange

message，形成阻斷式服務攻擊。(CVE-2015-1787)

(二) 檢測方法


使用Nessus掃描軟體，並且使用Plugin ID 83992 進行偵測，

依此判斷是否存在此弱點。

(三) 修補方式

請更新Splunk Enterprise版本至5.0.13 / 6.0.9 / 6.1.8或之後版

本。

(四) 參考資料

http://www.splunk.com/view/SP-CAAAN4P

http://openssl.org/news/secadv_20150319.txt

5

http://www.splunk.com/view/SP-CAAAN4P

http://openssl.org/news/secadv_20150319.txt

CVE















6















三、 [83528]Cisco NX-OS OpenSSL Multiple Vulnerabilities

(cisco-sa-20150310-ssl) (FREAK)

(一) 簡要說明

運行特定版本 NX-OS 的 Cisco 設備，可能存在著多個

OpenSSL library 相關弱點。

SSLv3 選項未開啟且同時收到 SSLv3 ClientHello 訊息時，

將導致存取 NULL pointer 的脆弱點，攻擊者可透過非預期的連

線交握，將此服務中斷，造成阻斷式服務攻擊。(CVE-2014-3569)

BIGNUM squaring (BN_sqr)執行時未適當計算'square of a

BIGNUM value'，攻擊者可利用此弱點使加密保護機制失效。

(CVE-2014-3570)

dtls1_get_record()功能存在相關漏洞，攻擊者可變造特殊

DTLS message 造成服務中斷。(CVE-2014-3571)

ECDH handshakes 在相關漏洞，當使用未包含

'ServerKeyExchange message'的 ECDSA 憑證時，攻擊者可觸發

加密套件的失效。(CVE-2014-3572)

由於缺乏強制要求配對'signed'與'unsigned'比例，當服務接

受 non-DER 憑證簽章演算法及簽章加密時可能會形成脆弱點，

攻擊者可透過變造資料繞過'fingerprint-based'的憑證黑名單保

護機制。(CVE-2014-8275)

OpenSSL library 支援' weak EXPORT_RSA cipher'套件，允許

金鑰長度少於或等於 512 位元，此不安全的套件可能導致網站

發生中間人攻擊(man-in-the-middle attacker)，攻擊者可將用戶訊

7

息竄改，要求伺服器採用 512 位元 RSA 金鑰，用戶瀏覽器若同

意此弱金鑰進行傳輸時，攻擊者而進行交易時，可於短時間內

破解弱金鑰，取得用戶與網站間的交易資訊。(CVE-2015-0204)

同意 DH 憑證進行用戶認證時，如未包含'CertificateVerify

message'可能存在相關漏洞。此漏洞允許遠端攻擊者無需私密

金鑰即可取得服務認證。(CVE-2015-0205)

dtls1_buffer_record()功能存一個記憶體漏洞。服務處理擁有

相同序號的 DTLS 紀錄時，可能會產生服務中斷，造成阻斷式

服務攻擊。(CVE-2015-0206)

(二) 檢測方法


使用Nessus掃描軟體，並且使用Plugin ID 83528進行偵測，依


(三) 修補方式

請依照供應商提供之修補檔進行更新。

(四) 參考資料

http://www.nessus.org/u?bd646a4f

https://www.smacktls.com/#freak

CVE




8









9






四、 [83527]Apache Tomcat 8.0.x < 8.0.21 Multiple

Vulnerabilities (FREAK)

(一) 簡要說明

安裝Apache Tomcat伺服器 8.0.x至 8.0.21版本之用戶可能

存在相關 OpenSSL library 弱點。





BIGNUM value'，攻擊者可利用此弱點使加密保護機制失效。

(CVE-2014-3570)

dtls1_get_record()功能存在相關漏洞，攻擊者可變造特殊

DTLS message 造成服務中斷。(CVE-2014-3571)







護機制。(CVE-2014-8275)

OpenSSL library 存在一個可繞過安全檢查規範的漏洞

(FREAK, Factoring RSA Export Keys)，由於該版本 OpenSSL

library 支援' weak EXPORT_RSA cipher'套件，允許金鑰長度少於

10

或等於 512 位元，此不安全的套件可能導致網站發生中間人攻

擊(man-in-the-middle attacker)，攻擊者可將用戶訊息竄改，要求

伺服器採用 512 位元 RSA 金鑰，用戶瀏覽器若同意此弱金鑰進

行傳輸時，攻擊者而進行交易時，可於短時間內破解弱金鑰，

取得用戶與網站間的交易資訊。(CVE-2015-0204)




dtls1_buffer_record()功能存一個記憶體漏洞。服務處理擁有

相同序號的 DTLS 紀錄時，可能會產生服務中斷，造成阻斷式

服務攻擊。(CVE-2015-0206)

d2i_ECPrivateKey() function 存在相關漏洞，由於該函式未

適當處理 malformed EC private key 檔案，使攻擊者可操作記憶

體容量，造成阻斷式服務攻擊。(CVE-2015-0209)

ASN1_TYPE_cmp() function 存在相關漏洞，由於該函式未

適當執行 boolean-type 比對，遠端攻擊者可變造 X.509 憑證，

造成阻斷式服務攻擊。(CVE-2015-0286)

ASN1_item_ex_d2i() function 存在相關漏洞，由於該函式重

新初始化'CHOICE' and 'ADB' data structures 可能導致失敗，攻

擊者可透過此弱點進行非法寫入造成記憶體中斷，形成阻斷式

服務攻擊。(CVE-2015-0287)

X509_to_X509_REQ() function 存在相關漏洞，由於該函式

未適當處理 certificate keys，遠端攻擊者可變造 X.509 憑證，造

11

成阻斷式服務攻擊。(CVE-2015-0288)

PKCS#7 parsing code 存在相關漏洞，由於不正確的處理外

部 ContentInfo，攻擊者可使用變造的資料，造成阻斷式服務攻

擊。(CVE-2015-0289)

伺服器同時支援 SSLv2與啟用 export cipher 套件可能存在

相關漏洞，由於未適當執行 SSLv2，遠端攻擊者可透過變造

CLIENT-MASTER-KEY message，形成阻斷式服務攻擊。

(CVE-2015-0293)

(二) 檢測方法


使用Nessus掃描軟體，並且使用Plugin ID83527 進行偵測，依


(三) 修補方式

請更新Apache Tomcat版本至8.021或之後版本。

(四) 參考資料

http://tomcat.apache.org/tomcat-8.0-doc/changelog.html

https://www.openssl.org/news/openssl-1.0.1-notes.html

https://www.openssl.org/news/secadv_20150108.txt

https://www.openssl.org/news/vulnerabilities.html



CVE


12














13













五、 [82913]Juniper NSM < 2012.2R11 Multiple OpenSSL

Vulnerabilities (JSA10679) (FREAK)

(一) 簡要說明

主機上安裝特定版本之 NSM (Network and Security

Manager) Server，可能存在相關 OpenSSL library 弱點。





BIGNUM value'。攻擊者可利用此弱點使加密保護機制失效。

(CVE-2014-3570)







護機制。(CVE-2014-8275)

OpenSSL library 支援' weak EXPORT_RSA cipher'套件，允許

金鑰長度少於或等於 512 位元，此不安全的套件可能導致網站

發生中間人攻擊(man-in-the-middle attacker)，攻擊者可將用戶訊

息竄改，要求伺服器採用 512 位元 RSA 金鑰，用戶瀏覽器若同

意此弱金鑰進行傳輸時，攻擊者而進行交易時，可於短時間內

14

破解弱金鑰，取得用戶與網站間的交易資訊。(CVE-2015-0204)




(二) 檢測方法


使用Nessus掃描軟體，並且使用Plugin ID 82913 進行偵測，

依此判斷是否存在此弱點。

(三) 修補方式

升級Juniper NSM 版本至2012.2R11或之後。

(四) 參考資料

http://kb.juniper.net/InfoCenter/index?page=content&id=JSA1067

9



CVE







15







104 年6 月份偵測弱點掃描之說明與修補 ... -...

Documents

Transcript of 104 年6 月份偵測弱點掃描之說明與修補 ... -...