OpenSSL 0.9.8 < 0.9.8k 多个漏洞

high Nessus 插件 ID 17763

语言：

简介

远程服务受到多个漏洞的影响。

描述

远程主机上安装的 OpenSSL 版本低于 0.9.8k。因此，它受到公告 0.9.8k 中提及的多个漏洞影响。

- WIN64 和某些其他平台上的 0.9.8k 之前的 OpenSSL 版本无法正确处理畸形的 ASN.1 结构，这允许远程攻击者通过在证书公钥中放置此结构来造成拒绝服务（无效的内存访问和应用程序崩溃），这一点已由 RSA 公钥证实。(CVE-2009-0789)

- 启用 CMS 时，OpenSSL 0.9.8h 至 0.9.8j 中的 CMS_verify 函数无法正确处理与畸形签名属性相关的错误，这允许远程攻击者拒绝接受最初看似有效但实际上无效的签名。(CVE-2009-0591)

- 在 OpenSSL 0.9.8k 的之前版本中，ASN1_STRING_print_ex 函数允许远程攻击者通过触发打印具有无效编码长度的 (1) BMPString 或 (2) UniversalString 的向量造成拒绝服务（无效内存访问和应用程序崩溃）。(CVE-2009-0590)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。