INSIDE Secure MatrixSSL OID欺骗漏洞

CVE编号

CVE-2017-1000417

利用情况

暂无

补丁情况

N/A

披露时间

2018-01-23

漏洞描述

INSIDE Secure MatrixSSL是法国INSIDE Secure公司的一个针对小型应用程序和设备而设计的嵌入式、开源SSLv3协议栈。
INSIDE Secure MatrixSSL 3.7.2版本中存在安全漏洞，该漏洞源于程序采用了易于冲突的物联网域名对比逻辑。攻击者可利用该漏洞伪造物联网域名。

解决建议

厂商已发布漏洞修复程序，请及时关注更新：
https://github.com/matrixssl/matrixssl/blob/master/doc/CHANGES.md

参考链接
https://github.com/matrixssl/matrixssl/blob/master/doc/CHANGES.md
https://www.ieee-security.org/TC/SP2017/papers/231.pdf
https://www.youtube.com/watch?v=FW--c_F_cY8

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	matrixssl	matrixssl	3.7.2	-

CVSS3评分 5.3

• 攻击路径 网络
• 攻击复杂度 低
• 权限要求 无
• 影响范围 未更改
• 用户交互 无
• 可用性 无
• 保密性 无
• 完整性 低

CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N CWE-ID 漏洞类型 CWE-295 证书验证不恰当