Tóm tắt nhanh
- CVE-2019-1559 là lỗ hổng mức TRUNG BÌNH (CVSS 5.9) ảnh hưởng big-ip access policy manager (f5), big-ip advanced firewall manager (f5), big-ip analytics (f5).
- Xác suất bị khai thác trong 30 ngày tới (EPSS): 17.1%, cao hơn 97.1% các lỗ hổng khác.
- Cách xử lý: cập nhật lên 6.0.0, 3.0.0, 9.0.0, 6.17.0 hoặc mới hơn.
| Gói / sản phẩm | Phiên bản bị ảnh hưởng | Phiên bản đã vá |
|---|
| big-ip access policy manager | ≥ 12.1.0, ≤ 12.1.5≥ 13.0.0, ≤ 13.1.3≥ 14.0.0, ≤ 14.1.2≥ 15.0.0, ≤ 15.1.0
| Chưa có bản vá |
| big-ip advanced firewall manager | ≥ 12.1.0, ≤ 12.1.5≥ 13.0.0, ≤ 13.1.3≥ 14.0.0, ≤ 14.1.2≥ 15.0.0, ≤ 15.1.0
| Chưa có bản vá |
| big-ip analytics | ≥ 12.1.0, ≤ 12.1.5≥ 13.0.0, ≤ 13.1.3≥ 14.0.0, ≤ 14.1.2≥ 15.0.0, ≤ 15.1.0
| Chưa có bản vá |
| big-ip application acceleration manager | ≥ 12.1.0, ≤ 12.1.5≥ 13.0.0, ≤ 13.1.3≥ 14.0.0, ≤ 14.1.2≥ 15.0.0, ≤ 15.1.0
| Chưa có bản vá |
| big-ip application security manager | ≥ 12.1.0, ≤ 12.1.5≥ 13.0.0, ≤ 13.1.3≥ 14.0.0, ≤ 14.1.2≥ 15.0.0, ≤ 15.1.0
| Chưa có bản vá |
| big-ip domain name system |
Mô tả
If an application encounters a fatal protocol error and then calls SSL_shutdown() twice (once to send a close_notify, and once to receive one) then OpenSSL can respond differently to the calling application if a 0 byte record is received with invalid padding compared to if a 0 byte record is received with an invalid MAC. If the application then behaves differently based on that in a way that is detectable to the remote peer, then this amounts to a padding oracle that could be used to decrypt data. In order for this to be exploitable "non-stitched" ciphersuites must be in use. Stitched ciphersuites are optimised implementations of certain commonly used ciphersuites. Also the application must call SSL_shutdown() twice even if a protocol error has occurred (applications should not do this but some do anyway). Fixed in OpenSSL 1.0.2r (Affected 1.0.2-1.0.2q).
Bạn đang dùng một trong các sản phẩm này? Quét site để biết có đang lộ phiên bản có lỗ hổng không.
Quét site miễn phí