-
-
OpenSSL新高危漏洞允许攻击者冒充信任的网站和服务
-
发表于:
2015-7-12 22:41
1488
-
OpenSSL新高危漏洞允许攻击者冒充信任的网站和服务
OpenSSL项目公布了最新的高危安全漏洞，该漏洞允许攻击者冒充加密保护的网站、电子邮件服务和VPN。
该漏洞只影响今年6月中旬发布的版本，使用旧版本的用户反而是安全的。
OpenSSL称，在证书验证过程中，如果第一次尝试失败OpenSSL将会试着寻找替代的证书链，但实现中的错误使得攻击者能绕过对不信任证书的检查，攻击者可以让无效的证书伪装成属于信任的CA，去向任意网站发行伪造证书。
虽然该漏洞看起来很可怕——向任意网站发行证书——但在实际中很难被利用，流行的浏览器默认使用的是BoringSSL，而BoringSSL没有受到影响，此外Android设备使用的OpenSSL也没有受到该漏洞的影响。
原文地址：http://www.2cto.com/News/201507/417154.html
[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)
