OpenSSL 1.1.1 ‹ 1.1.1d Несколько уязвимостей, вызывающих сбой сканирования PCI?

Спасибо, что посмотрели на мой вопрос. Вот ответ на ваши вопросы... 1. Как вы сканируете? Внешнее сканирование уязвимостей с помощью Security Metrics 2. Какой инструмент вы используете? Метрики безопасности Сканирование PCI. 3. Какой номер CVE он сообщил? CVE-2019-1549 CVE-2019-1547 CVE-2019-1552 Я не могу вставить полный текст из-за ограниченного пространства для символов, поэтому я отредактирую вопрос, чтобы включить полный абзац внизу.   -  person Majoris    schedule 07.01.2020

Похоже, ваш сканер веб-безопасности имеет подпись, которая ложно поднимает этот флаг, он не может прочитать/понять разницу версий. это обычная проблема со сканером уязвимостей. Это может исправить только продавец, он должен настроить свой сканер. Вам придется связаться с ними, как правило, производители сканеров уязвимостей не сотрудничают с такими запросами, они живут небольшими ложными срабатываниями.   -  person Enomatix24    schedule 08.01.2020

Воздействие Версия тестируемого продукта, установленная на удаленном хосте, предшествует тестируемой версии. Поэтому он подвержен следующим уязвимостям: - Обычно в группах OpenSSL EC всегда присутствует кофактор, и он используется в кодовых путях, устойчивых к сторонним каналам. Однако в некоторых случаях можно построить группу, используя явные параметры (вместо использования именованной кривой). В этих случаях возможно, что такая группа не имеет кофактора. Это может произойти даже в том случае, если все параметры соответствуют известной именованной кривой. Если используется такая кривая, то OpenSSL возвращается к путям кода, не устойчивым к боковым каналам, что может привести к полному восстановлению ключа во время операции подписи ECDSA. Чтобы быть уязвимым, злоумышленник должен иметь возможность рассчитать время создания большого количества подписей, где явные параметры без присутствия кофактора используются приложением, использующим libcrypto. Во избежание сомнений, libssl не уязвима, потому что явные параметры никогда не используются. Эта проблема затрагивает версии OpenSSL 1.1.1, 1.1.0 и 1.0.2. (CVE-2019-1547) — OpenSSL 1.1.1 представил переписанный генератор случайных чисел (RNG). Это было предназначено для включения защиты в случае системного вызова fork(), чтобы гарантировать, что родительский и дочерний процессы не используют одно и то же состояние RNG. Однако эта защита не использовалась по умолчанию. Частичное смягчение этой проблемы заключается в том, что выходные данные высокоточного таймера смешиваются с состоянием RNG, поэтому вероятность совместного состояния родительского и дочернего процессов значительно снижается. Если приложение уже вызывает OPENSSL_init_crypto() явно, используя OPENSSL_INIT_ATFORK, то эта проблема вообще не возникает. Эта проблема затрагивает OpenSSL версии 1.1.1. (CVE-2019-1549) — OpenSSL имеет внутренние значения по умолчанию для дерева каталогов, где он может найти файл конфигурации, а также сертификаты, используемые для проверки в TLS. Этот каталог чаще всего называют OPENSSLDIR, и его можно настроить с помощью параметров конфигурации --prefix / --openssldir. Для OpenSSL версий 1.1.0 и 1.1.1 цели конфигурации mingw предполагают, что результирующие программы и библиотеки установлены в Unix-подобной среде, а префикс по умолчанию для установки программы, а также для OPENSSLDIR должен быть «/usr/local». Тем не менее, программы mingw являются программами Windows, и поэтому они просматривают подкаталоги «C:/usr/local», которые могут быть доступны для записи всем, что позволяет ненадежным пользователям изменять конфигурацию OpenSSL по умолчанию, вставлять сертификаты CA, изменять (или даже заменить) существующие модули двигателя и т. д. Для OpenSSL 1.0.2 «/usr/local/ssl» используется по умолчанию для OPENSSLDIR на всех целевых системах Unix и Windows, включая сборки Visual C. Однако в некоторых инструкциях по сборке для различных целей Windows в версии 1.0.2 рекомендуется указывать собственный --prefix. Эта проблема затрагивает версии OpenSSL 1.1.1, 1.1.0 и 1.0.2. Из-за ограниченного количества затронутых развертываний это было оценено как низкая серьезность, и поэтому мы не создаем новые выпуски в настоящее время. (CVE-2019-1552) Обратите внимание, что SecurityMetrics не проверяла эти проблемы, а вместо этого полагалась только на номер версии приложения, о котором сообщают сами. См. также: http://www.nessus.org/u?c46dca59 https://www.openssl.org/news/secadv/20190910.txt https://www.openssl.org/news/secadv/20190730.txt   -  person Majoris    schedule 09.01.2020