openssl – 绿盟科技技术博客

OpenSSL多个安全漏洞通告

2022-05-17绿盟科技openssl, 安全漏洞

一、漏洞概述近日，绿盟科技CERT监测发现OpenSSL发布安全通告，修复了OpenSSL 产品中的多个安全

【安全通告】OpenSSL拒绝服务漏洞（CVE-2020-1971）

2020-12-09绿盟科技openssl, 安全漏洞, 拒绝服务, 指针, 解引用, 高危漏洞

当被比较的两个GENERAL_NAME都包含EDIPartyName时，将触发空指针解引用，造成程序崩溃最终导致拒绝服务。

【事件分析】OpenSSL“心脏出血”漏洞

2018-08-03吴亿伟openssl, openssl滴血漏洞, SSL证书加密, 加密通信, 漏洞分析, 网络通信安全

早在2014年，互联网安全协议OpenSSL被曝存在一个十分严重的安全漏洞。在黑客社区，它被命名为“心脏出血”，表明网络上出现了“致命内伤”。利用该漏洞，黑客可以获取约30%的https开头网址的用户登录账号密码，其中包括购物、网银、社交、门户等类型的知名网站。今天就为大家带来平台事件规则解读系列第四篇——震惊全球的“心脏出血”漏洞。

【威胁通告】OpenSSL拒绝服务漏洞

2017-02-18苏少博openssl, OpenSSL 漏洞, OpenSSL拒绝服务漏洞, 拒绝服务漏洞, 绿盟科技, 规避方案

2017年2月16日，OpenSSL官网发布安全通告，公布了编号为CVE-2017-3733的漏洞。在1.1.0e之前版本的OpenSSL握手阶段的重协商过程中，如果协商使用Encrypt-Then-Mac扩展，会导致OpenSSL崩溃。OpenSSL的服务端和客户端都受该漏洞的影响。

OpenSSL技术分析与处理建议

2016-05-07绿盟科技NSFOCUS, openssl, 修复方法, 威胁漏洞, 技术分析处理建议, 漏洞技术分析, 绿盟科技

2016年4月28日（Thu Apr 28 13:20:13 UTC 2016），OpenSSL官方公告，将会在2016年5月4日（Thu May 3 12:00-15:00 UTC 2016）发布新版本，修复多个关于OpenSSL高级别威胁漏洞。

OpenSSL威胁预警通告

2016-05-05绿盟科技openssl, OpenSSL威胁预警通告, 修复建议, 威胁预警通告, 绿盟科技

恶意文件分析系统中的数字签名验证

2015-07-29绿盟科技openssl, 恶意文件分析, 恶意软件, 恶意软件分析, 数字签名

恶意文件分析系统中的数字签名验证

安全研究部李志昕

摘要：本文主要介绍了Linux环境下的PE文件数字签名验证的相关技术，着重介绍了从PE文件中解析数字签名，并应用Openssl库进行证书信任链的验证。最后，对在恶意文件分析系统中对数字签名的信任策略问题，提出一些讨论和思考。

关键词：恶意文件分析数字签名 Openssl

“FREAK SSL Attack”科普版(CVE-2015-0204)

2015-04-22sczCVE-2015-0204, freak ssl attack, openssl, 加密算法

FREAK是”Factoring RSA-EXPORT Key Attack”的缩写。

参看:

http://blog.cryptographyengineering.com/2015/03/attack-of-week-freak-or-factoring-nsa.html

这是个一群密码学家如何黑了NSA的故事，也是关于加密体系后门的故事。

一群来自INRIA、Microsoft Research和IMDEA的密码学家发现OpenSSL客户端(比如 Android系统)、Apple SSL/TLS客户端(比如Safari)存在某些漏洞，允许MITM攻击者将受攻击的SSL/TLS会话所用的RSA算法更改成出口级RSA算法，后者意味着可以在可接受的时间范围内对算法所用的模数进行素因子分解，从而最终解密SSL/TLS会话。