OpenSSL TLSv1.3 拒绝服务漏洞 (CVE-2024-2511)

漏洞类型 拒绝服务 发现时间 2024-04-09 漏洞等级 低危
MPS编号 MPS-1nsb-30rg CVE编号 CVE-2024-2511 漏洞影响广度 广

漏洞危害

OSCS 描述
OpenSSL是OpenSSL团队的一个开源的能够实现安全套接层(SSLv2/v3)和安全传输层(TLSv1)协议的通用加密库。
当服务器启用了SSL_OP_NO_TICKET选项,但未配置early_data支持和默认的抗重放保护时,会话缓存将无法在达到一定条件后正确刷新,从而持续增长直至内存耗尽。攻击者可以通过恶意操作刻意触发这一情况。该漏洞不影响TLS客户端,且仅限于支持TLSv1.3的TLS服务器。
参考链接:https://www.oscs1024.com/hd/MPS-1nsb-30rg

影响范围及处置方案

OSCS 平台影响范围和处置方案

影响范围 处置方式 处置方法
openssl [3.0, 3.0.14) 升级 将组件 openssl 升级至 3.0.14 及以上版本
openssl [3.1, 3.1.6) 升级 将组件 openssl 升级至 3.1.6 及以上版本
openssl [3.2, 3.2.2) 升级 将组件 openssl 升级至 3.2.2 及以上版本
openssl [1.1.1, 1.1.1y) 升级 将组件 openssl 升级至 1.1.1y 及以上版本
参考链接:https://www.oscs1024.com/hd/MPS-1nsb-30rg

排查方式

方式1:使用漏洞检测CLI工具来排查使用文档:https://www.murphysec.com/docs/faqs/integration/cli.html
方式2:使用漏洞检测IDEA插件排查使用文档:https://www.murphysec.com/docs/faqs/integration/jetbrains-ide-plugin.html
方式3:接入GitLab进行漏洞检测排查使用文档:https://www.murphysec.com/docs/faqs/integration/gitlab.html
更多排查方式:https://www.murphysec.com/docs/faqs/integration/

本文参考链接

https://www.oscs1024.com/hd/MPS-1nsb-30rg

https://nvd.nist.gov/vuln/detail/CVE-2024-2511

https://github.com/openssl/openssl/commit/7e4d731b1c07201ad9374c1cd9ac5263bdf35bce

https://github.com/openssl/openssl/commit/b52867a9f618bb955bed2a3ce3db4d4f97ed8e5d

https://github.com/openssl/openssl/commit/e9d7083e241670332e0443da0f0d4ffb52829f08

https://www.openssl.org/news/secadv/20240408.txt

(0)
上一篇 2024年4月6日 上午12:00
下一篇 2024年4月11日 下午10:00

相关推荐

  • Helm < 3.14.1 路径遍历漏洞 (CVE-2024-25620)

    漏洞类型 路径遍历 发现时间 2024-02-15 漏洞等级 中危 MPS编号 MPS-2si9-mtja CVE编号 CVE-2024-25620 漏洞影响广度 广 漏洞危害 OSCS 描述 Helm 是一个用于管理 Charts 的工具。Charts 是预配置的 Kubernetes 资源的包。 Helm 客户端或 SDK 在保存 Chart 目录时未验…

    2024年2月16日
    0
  • Vue.js Devtools 信息泄漏漏洞 (CVE-2023-5718)

    漏洞类型 未授权敏感信息泄露 发现时间 2023-10-23 漏洞等级 中危 MPS编号 MPS-ufj7-8m52 CVE编号 CVE-2023-5718 漏洞影响广度 一般 漏洞危害 OSCS 描述 Vue.js Devtools 是一款用于 Vue.js 应用程序开发和调试的浏览器扩展工具。 扩展中没有正确验证和授权postMessage()消息的来源…

    2023年10月24日
    0
  • Apache Dubbo 3.1.5 反序列化漏洞 (CVE-2023-46279)

    漏洞类型 反序列化 发现时间 2023-12-15 漏洞等级 严重 MPS编号 MPS-k3ml-xyci CVE编号 CVE-2023-46279 漏洞影响广度 广 漏洞危害 OSCS 描述 Apache Dubbo 是一款易用、高性能的 WEB 和 RPC 框架。 在3.1.5版本中,由于新增的SerializeSecurityManager类存在缺陷,…

    2023年12月18日
    0
  • Node.js 存在权限提升漏洞 (CVE-2024-21892)

    漏洞类型 权限管理不当 发现时间 2024-02-21 漏洞等级 高危 MPS编号 MPS-lvsi-p1yd CVE编号 CVE-2024-21892 漏洞影响广度 广 漏洞危害 OSCS 描述 Node.js 是开源、跨平台的 JavaScript 运行时环境,CAP_NET_BIND_SERVICE 是Linux操作系统中的一种特殊能力(capabil…

    2024年2月22日
    0
  • Microsoft Exchange Server 远程代码执行漏洞 (CVE-2023-36439)

    漏洞类型 代码注入 发现时间 2023-11-15 漏洞等级 高危 MPS编号 MPS-z7l2-u3tm CVE编号 CVE-2023-36439 漏洞影响广度 广 漏洞危害 OSCS 描述 Microsoft Exchange Server 是微软公司开发的一款邮件服务器。 Microsoft Exchange Server 受影响版本中,具有普通用户权…

    2023年11月16日
    0