總機(jī)：020-87516161 傳真：020-87516161-8040
地址：廣州市天河北路898號(hào)信源大廈3206-3211室 郵編：510660
安全公告編號(hào):CNTA-2014-0030
10月15日，CNVD收錄了SSL V3協(xié)議存在的一個(gè)可導(dǎo)致信息泄露的高危漏洞（CNVD-2014-06718,對(duì)應(yīng)CVE-2014-3566）。攻擊者用來發(fā)起遠(yuǎn)程攻擊，竊取采用了sslv3加密通信過程中的內(nèi)容，構(gòu)成信息泄露安全風(fēng)險(xiǎn)，目前廠商暫時(shí)沒有提供升級(jí)補(bǔ)丁。
一、漏洞情況分析
SSL V3是一項(xiàng)傳輸層安全協(xié)議，主要用于網(wǎng)站、郵件服務(wù)器等相關(guān)應(yīng)用服務(wù)的網(wǎng)絡(luò)安全傳輸。近日，SSL V3協(xié)議被披露存在安全漏洞，攻擊者可以利用此漏洞發(fā)起中間人欺騙攻擊，當(dāng)通信兩端的用戶主機(jī)均使用SSL V3進(jìn)行安全傳輸時(shí)，可發(fā)起攻擊竊取敏感信息。SSL V3協(xié)議最早啟用于1996年，目前已被TLS 1.0，TLS 1.1，TLS 1.2等高級(jí)協(xié)議代替，同時(shí)由于兼容性原因，大多數(shù)的TLS協(xié)議實(shí)現(xiàn)兼容SSL V3。用戶瀏覽器在與服務(wù)器端的TLS握手階段進(jìn)行版本協(xié)商的時(shí)候，首先提供其所支持協(xié)議的最新版本，若該握手失敗，則嘗試以較舊的協(xié)議版本協(xié)商，即降級(jí)協(xié)商。根據(jù)分析，受漏洞影響的除了SSL V3本身外，還包括采用TLS 1.0和TLS 1.2等協(xié)議組件的客戶端產(chǎn)品。CNVD對(duì)該漏洞的綜合評(píng)級(jí)為“高危”。?
漏洞存在于SSL V3的CBC塊加密漏洞，攻擊者可成功破解SSL連接的加密信息。進(jìn)一步分析表明，攻擊者很有可能會(huì)通過控制客戶端和服務(wù)器之間的數(shù)據(jù)通信，使受影響版本瀏覽器與服務(wù)器端使用較新協(xié)議的協(xié)商建立失敗，從而導(dǎo)致直接應(yīng)用SSL V3的降級(jí)通信協(xié)商，達(dá)成攻擊條件。
二、漏洞處置建議
1、軟件生產(chǎn)廠商暫時(shí)沒有提供升級(jí)補(bǔ)丁，同時(shí)請(qǐng)廣大用戶及時(shí)關(guān)注廠商官網(wǎng)及時(shí)下載更新。
2、建議用戶先檢測(cè)使用軟件是否支持SSLV3協(xié)議，并配置服務(wù)器暫時(shí)不支持sslv3協(xié)議，具體如下所示：
1）sslv3協(xié)議檢測(cè)工具如下：
http://sourceforge.net/projects/sslscan/
https://www.ssllabs.com/ssltest/analyze.html?d=boc.com&ignoreMismatch=on
在線檢測(cè)頁(yè)面：https://sslv3.dshield.org:444/index.html
2）用戶可自配置服務(wù)器主機(jī)暫時(shí)不支持sslv3協(xié)議，可以參見如下鏈接進(jìn)行配置：
https://www.ssllabs.com/downloads/SSL_TLS_Deployment_Best_Practices_1.3.pdf
同時(shí)，終端用戶可配置瀏覽器停用SSLV3協(xié)議，具體可以參見如下鏈接：
http://blog.yjl.im/2013/12/disabling-tlsssl-rc4-in-firefox-and.html
注：CNVD成員單位綠盟科技、安天實(shí)驗(yàn)室即分中心提供了漏洞分析文檔及部分研判支持。
參考鏈接：