← volver
CVE-2014-3566lowCWE-329

CVE-2014-3566

45Vexday Risk Score

Corrige pronto. Ella tiene exploit funcional público.

ssvc Attendcvss 3.4epss 100%
de la publicación al arma0 días
Publicada en NVD15 oct
metasploit14 oct
probabilidad de explotación
100%top 1% de las CVE
explotación observada
noninguna fuente lo reporta
Lo que declaran los fabricantes (VEX)

Declaraciones oficiales de los fabricantes en formato CSAF/VEX: si su producto está afectado, ya corregido o descartado — y por qué. Es afirmación del fabricante, no juicio de Vexday.

Red Hatdocumento VEX ↗
Afectado
15 productos (27 componentes)
Red Hat Enterprise Linux 6 · Red Hat Enterprise Virtualization 3 · Red Hat Enterprise Linux 5 · Red Hat Enterprise Linux 7 · Red Hat Enterprise Linux OpenStack Platform 7 (Kilo) · y otros 10
no_fix_planned: Will not fix
Corregido
48 productos (1373 componentes)
Red Hat Enterprise Linux Server (v. 7) · Red Hat Enterprise Linux Server Supplementary (v. 5) · Red Hat Enterprise Linux Server Supplementary (v. 6) · Red Hat Satellite 6.0 · Red Hat Enterprise Linux Desktop Supplementary (v. 6) · y otros 43
corrección ↗
En investigación
3 productos (12 componentes)
Red Hat Enterprise Linux 7 · Red Hat Enterprise Linux 6 · Red Hat Enterprise Linux 5
En resumen

SSL 3.0 tiene una debilidad en cómo maneja el relleno de datos cifrados, permitiendo que atacantes descifren mensajes interceptados. Este fallo, conocido como POODLE, afecta sistemas de cifrado antiguos aún en uso.

Detalle técnico

SSL 3.0 implementa relleno CBC no determinístico, habilitando ataques de padding-oracle donde un atacante MITM puede descifrar sistemáticamente datos cifrados observando respuestas de validación de relleno. La explotación requiere interceptar el tráfico cliente-servidor, típicamente forzando un downgrade de TLS a SSL 3.0.

Resumen generado y traducido por IA a partir de la descripción oficial.
The SSL protocol 3.0, as used in OpenSSL through 1.0.1i and other products, uses nondeterministic CBC padding, which makes it easier for man-in-the-middle attackers to obtain cleartext data via a padding-oracle attack, aka the "POODLE" issue.
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:L/I:N/A:N
Productos afectados
n/a · n/a
Referencias
http://marc.info/?l=bugtraq&m=142103967620673&w=2http://aix.software.ibm.com/aix/efixes/security/openssl_advisory11.aschttp://www.securitytracker.com/id/1031090http://blog.nodejs.org/2014/10/23/node-v0-10-33-stable/http://rhn.redhat.com/errata/RHSA-2014-1880.htmlhttp://marc.info/?l=bugtraq&m=142804214608580&w=2https://h20566.www2.hpe.com/portal/site/hpsc/public/kb/docDisplay?docId=emr_na-c04819635http://www.kb.cert.org/vuls/id/577193http://marc.info/?l=bugtraq&m=141577087123040&w=2http://marc.info/?l=bugtraq&m=141715130023061&w=2http://lists.opensuse.org/opensuse-security-announce/2014-10/msg00008.htmlhttps://support.apple.com/kb/HT6542