CVE编号
CVE-2016-7056利用情况
暂无补丁情况
官方补丁披露时间
2018-09-11漏洞描述
OpenSSL是OpenSSL团队开发的一个开源的能够实现安全套接层（SSL v2/v3）和安全传输层（TLS v1）协议的通用加密库，它支持多种加密算法，包括对称密码、哈希算法、安全散列算法等。OpenSSL中存在安全漏洞，该漏洞源于crypto/ec/ecdsa_ossl.c文件的‘ecdsa_sign_setup()’函数未能正确的设置BN_FLG_CONSTTIME标识。本地攻击者利用该漏洞实施cache-timing攻击，获取ECDSA P-256私钥。
解决建议
目前厂商已经发布了升级补丁以修复此安全问题，详情请关注厂商主页：https://www.openssl.org/
参考链接 |
|
|---|---|
| http://rhn.redhat.com/errata/RHSA-2017-1415.html | |
| http://www.securityfocus.com/bid/95375 | |
| http://www.securitytracker.com/id/1037575 | |
| https://access.redhat.com/errata/RHSA-2017:1413 | |
| https://access.redhat.com/errata/RHSA-2017:1414 | |
| https://access.redhat.com/errata/RHSA-2017:1801 | |
| https://access.redhat.com/errata/RHSA-2017:1802 | |
| https://bugzilla.redhat.com/show_bug.cgi?id=CVE-2016-7056 | |
| https://eprint.iacr.org/2016/1195 | |
| https://ftp.openbsd.org/pub/OpenBSD/patches/5.9/common/033_libcrypto.patch.sig | |
| https://ftp.openbsd.org/pub/OpenBSD/patches/6.0/common/016_libcrypto.patch.sig | |
| https://git.openssl.org/?p=openssl.git;a=commit;h=8aed2a7548362e88e84a7feb795... | |
| https://people.canonical.com/~ubuntu-security/cve/2016/CVE-2016-7056.html | |
| https://seclists.org/oss-sec/2017/q1/52 | |
| https://security-tracker.debian.org/tracker/CVE-2016-7056 | |
| https://www.debian.org/security/2017/dsa-3773 |
受影响软件情况
| # | 类型 | 厂商 | 产品 | 版本 | 影响面 | ||||
| 1 | |||||||||
|---|---|---|---|---|---|---|---|---|---|
| 运行在以下环境 | |||||||||
| 应用 | openssl | openssl | * |
Up to (including) 1.0.1u |
|||||
| 运行在以下环境 | |||||||||
| 系统 | debian_7 | openssl | * |
Up to (excluding) 1.0.1t-1+deb7u2 |
|||||
| 运行在以下环境 | |||||||||
| 系统 | debian_8 | openssl | * |
Up to (excluding) 1.0.1t-1+deb8u8 |
|||||
| 运行在以下环境 | |||||||||
| 系统 | fedora_EPEL_5 | openssl | * |
Up to (excluding) 1.0.1e-10.el5 |
|||||
| 运行在以下环境 | |||||||||
| 系统 | opensuse_Leap_42.1 | openssl | * |
Up to (excluding) 2.5.3-13.1 |
|||||
| 运行在以下环境 | |||||||||
| 系统 | opensuse_Leap_42.2 | openssl | * |
Up to (excluding) 2.5.3-5.3.1 |
|||||
| 运行在以下环境 | |||||||||
| 系统 | opensuse_Leap_42.3 | openssl | * |
Up to (excluding) 1.0.2k-4.3.1 |
|||||
| 运行在以下环境 | |||||||||
| 系统 | suse_11_SP4 | openssl | * |
Up to (excluding) 0.9.8j-0.105.1 |
|||||
| 运行在以下环境 | |||||||||
| 系统 | suse_12_SP1 | openssl | * |
Up to (excluding) 1.0.1i-54.5.1 |
|||||
| 运行在以下环境 | |||||||||
| 系统 | suse_12_SP2 | openssl | * |
Up to (excluding) 0.9.8j-105.1 |
|||||
| 运行在以下环境 | |||||||||
| 系统 | ubuntu_14.04 | openssl | * |
Up to (excluding) 1.0.1f-1ubuntu2.22 |
|||||
- 攻击路径 本地
- 攻击复杂度 复杂
- 权限要求 普通权限
- 影响范围 有限影响
- EXP成熟度 未验证
- 补丁情况 官方补丁
- 数据保密性 无影响
- 数据完整性 无影响
- 服务器危害 无影响
- 全网数量 100
还没有评论，来说两句吧...