Bad (EC)DHE parameters cause a client crash
35Vexday Risk Score
Sem sinal de exploração. Ela tem prova de conceito pública.
ssvc Attendepss 55%
da publicação à arma0 dias
Publicada no NVD4 de mai.
1ª PoC26 de jan.
probabilidade de exploração
55%top 1% das CVEs
exploração observada
nãonenhuma fonte reporta
3 exploit(s) público(s)
In OpenSSL 1.1.0 before 1.1.0d, if a malicious server supplies bad parameters for a DHE or ECDHE key exchange then this can result in the client attempting to dereference a NULL pointer leading to a client crash. This could be exploited in a Denial of Service attack.
Produtos afetados
OpenSSL · OpenSSLPoCs públicas encontradas — 3
exploitdbwww.exploit-db.com/exploits/41192não verificadogithubgithub.com/olivierh59500/CVE-2017-3730★ 0cve_referencewww.exploit-db.com/exploits/41192/não verificado⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.
Referências
https://github.com/openssl/openssl/commit/efbe126e3ebb9123ac9d058aa2bb044261342aaahttps://security.gentoo.org/glsa/201702-07https://support.hpe.com/hpsc/doc/public/display?docLocale=en_US&docId=emr_na-hpesbhf03838en_ushttps://www.exploit-db.com/exploits/41192/https://www.openssl.org/news/secadv/20170126.txthttps://www.oracle.com/technetwork/security-advisory/cpuapr2019-5072813.htmlhttp://www.oracle.com/technetwork/security-advisory/cpujan2018-3236628.htmlhttp://www.oracle.com/technetwork/security-advisory/cpuoct2017-3236626.htmlhttp://www.securityfocus.com/bid/95812http://www.securitytracker.com/id/1037717