全部产品
云市场

【漏洞公告】CVE-2016-2107:OpenSSL AES-NI CBC 中间人劫持漏洞

更新时间:2017-11-17 16:40:25

漏洞描述

国外安全专家发现了一种新型中间人攻击方式,漏洞编号为 CVE-2016-2107。

当客户端使用 AES_128(256)_CBC 相关的加密套件与服务器(需支持 AES-NI 指令)通信时,攻击者可通过截获客户端和服务器的通信数据,并利用填充数据块的方式解密通信原文,实现中间人劫持。

漏洞修复

注意:建议在修复前创建服务器快照,以免修复失败造成损失。

确认 443 端口被哪个服务调用,然后更新该程序所依赖的 OpenSSL(不一定是系统自带的 OpenSSL)。

  • 推荐把 OpenSSL 版本更新到最新版本
  • OpenSSL 1.0.2 应升级到 1.0.2h 或以上
  • OpenSSL 1.0.1 应升级到 1.0.1t 或以上
  • OpenSSL 1.0.0 应升级到 1.0.1t 或以上

更新完毕后,请重启调用 443 端口的服务。