Hillstone关于OpenSSL secadv_20140605中多个漏洞的声明


经过确认,Hillstone目前在售的所有产品,包括M/G系列企业安全网关、X系列数据中心防火墙、T系列下一代智能防火墙、HSM安全管理平台、HSA安全审计平台、NIPS网络入侵防御系统等全系列产品均不存在OpenSSL secadv_20140605中所述的多个漏洞。各个漏洞的详细情况如下:

【SSL/TLS MITM vulnerability (CVE-2014-0224)】
攻击者使用精心构造的握手包能够强制客户端和服务端之间使用弱密钥进行通信。这样,攻击者就可以通过中间人攻击的手段来解密和修改客户端和服务端之间的流量。攻击仅对同时存在漏洞的客户端和服务端有效,客户端的OpenSSL所有版本均受影响,服务端仅有1.0.1和1.0.2-beta1版本受影响。
Hillstone全线产品未使用OpenSSL 1.0.1和1.0.2-beta1版本,因此不受影响。

【DTLS recursion flaw (CVE-2014-0221)】
远程攻击者能够发送无效的DTLS握手请求来使目标的处理逻辑进入死循环状态并最终耗尽资源而崩溃。该攻击仅影响将OpenSSL作为DTLS客户端的应用。
Hillstone全线产品未有将OpenSSL作为DTLS客户端的应用,因此不存在此漏洞。

【DTLS invalid fragment vulnerability (CVE-2014-0195)】
向OpenSSL DTLS的客户端或服务端发送无效的DTLS碎片能够导致缓冲区溢出攻击。潜在的攻击者能够利用该漏洞在受影响的客户端或服务端中执行任意代码。该攻击仅影响将OpenSSL作为DTLS客户端或服务端的应用。
Hillstone全线产品未有将OpenSSL作为DTLS客户端或服务端的应用,因此不存在此漏洞。

【SSL_MODE_RELEASE_BUFFERS NULL pointer dereference (CVE-2014-0198)】
OpenSSL中do_ssl3_write函数存在漏洞,能够允许远程攻击者通过引用一个空指针产生拒绝服务。仅有使能了SSL_MODE_RELEASE_BUFFERS的OpenSSL 1.0.0和1.0.1版本受影响,但使能SSL_MODE_RELEASE_BUFFERS并不是默认和常见的配置。
Hillstone全线产品未使用OpenSSL 1.0.0和1.0.1版本,因此不存在此漏洞。

【SSL_MODE_RELEASE_BUFFERS session injection or denial of service (CVE-2010-5298)】
OpenSSL中ssl3_read_bytes函数存在竞争条件漏洞,能够允许远程攻击者可以在会话之间注入数据或导致拒绝服务。仅有使用OpenSSL 1.0.0和1.0.1版本的多线程应用受影响,其中使能了SSL_MODE_RELEASE_BUFFERS,但使能SSL_MODE_RELEASE_BUFFERS并不是默认和常见的配置。
Hillstone全线产品未使用OpenSSL 1.0.0和1.0.1版本,因此不存在此漏洞。

【Anonymous ECDH denial of service (CVE-2014-3470)】
OpenSSL TLS客户端启用匿名ECDH(椭圆曲线Diffie-Hellman)密码套件会遭受拒绝服务攻击。
Hillstone全线产品未启用匿名ECDH(椭圆曲线Diffie-Hellman)密码套件,因此不存在此漏洞。

【OpenSSL ECDSA flaw (CVE-2014-0076)】
OpenSSL 1.0.0l及之前版本中的Montgomery ladder实现过程中存在安全漏洞,该漏洞源于椭圆曲线数字签名算法(ECDSA)中存在错误。远程攻击者可通过FLUSH+RELOAD Cache旁道攻击利用该漏洞获取ECDSA随机数值。
Hillstone全线产品未使用椭圆曲线数字签名算法(ECDSA),因此不存在此漏洞。