OpenSSL SSLv2 cipher suite selectio

OpenSSL SSLv2 cipher suite selection bug
General DROWN is a protocol flaw, but the population
of vulnerable hosts is increased due to a bug in OpenSSL
that causes many servers to erroneously support SSLv2
and export ciphers even when configured not to. The
OpenSSL team intended to disable SSLv2 by default in
2010, with a change that removed all SSLv2 cipher suites
from the default list of ciphers offered by the server [36].
However, the code for the protocol itself was not removed
in standard builds and SSLv2 itself remained enabled.
We discovered a bug in OpenSSL’s SSLv2 cipher
suite negotiation logic that allows clients to select
SSLv2 cipher suites even when they are not explicitly
offered by the server. We notified the OpenSSL team of
this vulnerability, which was assigned CVE-2015-3197.
The problem was fixed in OpenSSL releases 1.0.2f and
1.0.1r [36].
5 Special D

Kết quả (Việt) 1:

OpenSSL SSLv2 mật mã suite chọn lỗiDROWN nói chung là một lỗ hổng giao thức, nhưng dân sốmáy chủ dễ bị tổn thương tăng lên do một lỗi trong OpenSSLmà gây ra các máy chủ nhiều sai lầm hỗ trợ SSLv2và thuật toán mật mã ngay cả khi cấu hình không phải là để xuất khẩu. CácOpenSSL đội nhằm vô hiệu hóa SSLv2 theo mặc định trongnăm 2010, với một sự thay đổi mà loại bỏ tất cả các Suite mã SSLv2từ danh sách mặc định mật mã được cung cấp bởi các máy chủ [36].Tuy nhiên, các mã cho các giao thức chính nó không được gỡ bỏtiêu chuẩn xây dựng và SSLv2 chính nó vẫn được kích hoạt.Chúng tôi phát hiện ra một lỗi trong OpenSSL's SSLv2 mật mãbộ đàm phán logic cho phép khách hàng để chọnSSLv2 mật mã Suite ngay cả khi họ không phải là một cách rõ ràngđược cung cấp bởi các máy chủ. Chúng tôi thông báo đội OpenSSLlỗ hổng này, được chỉ định CVE-2015-3197.Vấn đề đã được cố định trong OpenSSL chí 1.0.2f và1.0.1R [36].5 D đặc biệt

Kết quả (Việt) 2:

OpenSSL SSLv2 bộ mật mã lựa chọn lỗi
chung bị chết đuối là một lỗ hổng giao thức, nhưng dân số
của máy chủ dễ bị tổn thương được tăng lên do một lỗi trong OpenSSL
gây ra nhiều máy chủ để hỗ trợ sai lầm SSLv2
và xuất khẩu mật mã ngay cả khi cấu hình không. Các
đội OpenSSL nhằm vô hiệu hóa SSLv2 theo mặc định trong
năm 2010, với sự thay đổi đó loại bỏ tất cả các bộ mã hoá SSLv2
từ danh sách mặc định của thuật toán mã hóa được cung cấp bởi các máy chủ [36].
Tuy nhiên, các mã cho các giao thức riêng của mình không được xóa bỏ
trong tiêu chuẩn xây dựng và SSLv2 tự vẫn được bật.
Chúng tôi phát hiện ra một lỗi trong SSLv2 mật mã OpenSSL của
bộ luận đàm phán cho phép khách hàng để chọn
SSLv2 bộ mã hoá ngay cả khi họ không rõ ràng
được cung cấp bởi máy chủ. Chúng tôi đã thông báo cho đội OpenSSL của
lỗ hổng này, được giao CVE-2015-3197.
Các vấn đề đã được cố định trong OpenSSL phát hành 1.0.2f và
1.0.1r [36].
5 Special D