總機：020-87516161 傳真：020-87516161-8040
地址：廣州市天河北路898號信源大廈3206-3211室 郵編：510660
安全公告編號:CNTA-2016-0019
近日，OpenSSL發布了安全公告，共含6項更新。其中2項更新的綜合評級為“高危”。國家信息安全漏洞共享平臺（CNVD）收錄了對應的漏洞，遠程攻擊者利用上述漏洞可導致程序崩潰，執行任意代碼。
一、漏洞情況分析
OpenSSL是一個實現安全套接層和安全傳輸層協議的通用開源加密庫，可支持多種加密算法，包括對稱密碼、哈希算法、安全散列算法等。近期官方發布安全公告，修復如下列表漏洞：
| 漏洞編號 | 漏洞標題 | 描述 | 評級 |
|---|---|---|---|
| CNVD-2016-02676 CVE-2016-2176 |
OpenSSL EBCDIC越界讀漏洞 | OpenSSL EBCDIC存在越界讀漏洞。當程序使用EBCDIC系統X509_NAME_oneline（）函數，ASN1字符串超過1024字節可導致越界讀，進而可導致在緩沖區返回任意堆棧的數據。 | 低危 |
| CNVD-2016-02677 CVE-2016-2109 |
OpenSSL ASN.1 BIO內存過度分配漏洞 | OpenSSL ASN.1 BIO存在內存過度分配漏洞。攻擊者利用漏洞使用BIO的函數讀取ASN.1中的數據時，簡短無效的字符編碼也引起大量內存分配，耗盡內存資源。 | 低危 |
| CNVD-2016-02678 CVE-2016-2106 |
OpenSSL EVP_EncodeUpdate溢出漏洞(CNVD-2016-02678) | OpenSSL EVP_EncodeUpdate()存在溢出漏洞。攻擊者利用漏洞可輸入大量數據，導致長度檢查時發生堆破壞溢出。 | 中危 |
| CNVD-2016-02679 CVE-2016-2105 |
OpenSSL EVP_EncodeUpdate溢出漏洞 | OpenSSL EVP_EncodeUpdate()存在溢出漏洞。攻擊者利用漏洞可輸入大量數據，導致長度檢查時發生堆破壞溢出。 | 中危 |
| CNVD-2016-02680 CVE-2016-2107 |
OpenSSL密文填塞漏洞 | “密文填塞”（Padding Oracle）漏洞允許中間人攻擊者在服務器支持AES-NI的情況下利用AES-CBC加擾機制對數據進行解密。攻擊者能夠在數小時內向加密信息內填充明文并根據服務器響應情況執行中間人攻擊，進而竊取到HTTPS上經過加密的登錄密碼。 | 高危 |
| CNVD-2016-02681 CVE-2016-2108 |
OpenSSL ASN.1 encoder內存破壞漏洞 | 內存錯誤漏洞出現在OpenSSL所使用的ASN.1編碼器中，由兩個低風險的漏洞所構成，但彼此牽動便會造成嚴重的后果，可允許攻擊者執行任意代碼。若用戶將0表示為負值，則會觸發緩沖區溢出并造成越界寫入，但這種情況在ASN.1解析器中極為罕見，因此并不會造成嚴重后果，但是ANS.1解析器亦可能將大量通用標記誤解為“-0”。兩項問題的漏洞可能導致程序崩潰或者引發潛在的遠程惡意代碼執行。 | 高危 |
二、漏洞影響范圍
漏洞影響OpenSSL 1.0.2,1.0.1版本。由于OpenSSL廣泛應用于一些大型互聯網企業的網站、VPN、郵件、即時聊天等類型的服務器上，因此對服務提供商以及用戶造成的威脅范圍較大，影響較為嚴重。大多數通過SSL/TLS協議加密的網站都使用了OpenSSL的開源軟件包，因此漏洞影響會涉及到所有使用OpenSSL開源包的應用。
三、漏洞修復建議
目前，廠商已發布安全公告修復上述漏洞。CNVD建議相關用戶關注廠商主頁更新，及時下載最新版本，避免引發漏洞相關的網絡安全事件。https://www.openssl.org/source/?
附：參考鏈接：
https://www.openssl.org/news/vulnerabilities.html
https://www.openssl.org/news/secadv/20160503.txt
http://www.cnvd.org.cn/flaw/show/CNVD-2016-02676
http://www.cnvd.org.cn/flaw/show/CNVD-2016-02677
http://www.cnvd.org.cn/flaw/show/CNVD-2016-02678
http://www.cnvd.org.cn/flaw/show/CNVD-2016-02679