在2014年9月4日在该心脏出血漏洞vulerability是由OpenSSL团队披露。
Heartbleed Bug是流行的OpenSSL密码软件库中的一个严重漏洞。这种弱点允许在正常情况下窃取用于保护Internet的SSL / TLS加密保护的信息。
我们可以建立易受企业网络设备的列表心脏出血漏洞?
在2014年9月4日在该心脏出血漏洞vulerability是由OpenSSL团队披露。
Heartbleed Bug是流行的OpenSSL密码软件库中的一个严重漏洞。这种弱点允许在正常情况下窃取用于保护Internet的SSL / TLS加密保护的信息。
我们可以建立易受企业网络设备的列表心脏出血漏洞?
Answers:
与任何新漏洞一样,它的影响是深远的。基础设施设备没有什么不同。它们中的大多数确实包含易受攻击的OpenSSL软件包。
几乎不可能编译所有易受攻击的产品1的清单,因为它会影响包括使用原始OpenSSL TLS心跳实现构建的OpenSSL库在内的所有内容,直到将流血的补丁提交给OpenSSL稳定分支为止;但是,我们可以在此处列出主要供应商的产品。
- ArubaOS 6.3.x,6.4.x
- ClearPass 6.1.x,6.2.x,6.3.x
- 以前的版本,这些产品的使用OpenSSL的早期版本是不容易。
SK 100173断言Checkpoint产品不容易受到攻击。
以下思科产品受此漏洞影响:
- 适用于iOS的Cisco AnyConnect安全移动客户端[CSCuo17488]
- 思科桌面协作体验DX650
- Cisco Unified 7800系列IP电话
- Cisco Unified 8961 IP电话
- Cisco Unified 9951 IP电话
- Cisco Unified 9971 IP电话
- Cisco IOS XE [CSCuo19730]
- 思科统一通信管理器(UCM)10.0
- 运行V3.4.2.x软件的Cisco Universal Small Cell 5000系列
- 运行V3.4.2.x软件的Cisco Universal Small Cell 7000系列
- Small Cell工厂恢复根文件系统V2.99.4或更高版本
- 思科MS200X以太网访问交换机
- 思科移动服务引擎(MSE)
- 思科网真视频通信服务器(VCS)[CSCuo16472]
- 思科网真导体
- 思科网真管理器MSE 8050
- 思科网真服务器8710、7010
- 多方媒体上的Cisco TelePresence Server 310、320
- 虚拟机上的思科网真服务器
- 思科网真ISDN网关8321和3201系列
- 思科网真串行网关系列
- 思科网真IP网关系列
- Cisco WebEx Meetings Server版本2.x [CSCuo17528]
- 思科安全管理器[CSCuo19265]
截至2014年4月15日,D-Link尚没有易受攻击的产品。
- FortiGate(FortiOS)5.x
- FortiAuthenticator 3.x
- FortiMail 5.x
- FortiVoice
- FortiRecorder
- FortiADC D系列型号1500D,2000D和4000D
- FortiADC E系列3.x
- 土狼点均衡器GX / LX 10.x
自2014年4月10日起,已知以下F5产品/版本容易受到攻击
- BigIP LTM版本11.5.0-11.5.1(管理接口,兼容SSL密码)
- BigIP AAM版本11.5.0-11.5.1(管理接口,兼容SSL密码)
- BigIP AFM版本11.5.0-11.5.1(管理接口,兼容SSL密码)
- BigIP Analytics版本11.5.0-11.5.1(管理接口,兼容SSL密码)
- BigIP APM版本11.5.0-11.5.1(管理接口,兼容SSL密码)
- BigIP ASM版本11.5.0-11.5.1(管理接口,兼容SSL密码)
- BigIP GTM版本11.5.0-11.5.1(管理接口,兼容SSL密码)
- BigIP Link控制器版本11.5.0-11.5.1(管理接口,兼容SSL密码)
- BigIP PEM版本11.5.0-11.5.1(管理接口,兼容SSL密码)
- BigIP PSM版本11.5.0-11.5.1(管理接口,兼容SSL密码)
- 适用于Apple iOS版本1.0.5、2.0.0-2.0.1的BIG-IP Edge客户端(VPN)
- 适用于Linux版本6035-7101(VPN)的BIG-IP Edge客户端
- 适用于Mac OSX版本6035-7101(VPN)的BIG-IP Edge客户端
- Windows版本6035-7101(VPN)的BIG-IP Edge客户端
F5 Networks SOL 15159 OpenSSL漏洞CVE-2014-0160
截至4月10日
“我们已经确定我们调查的产品由于使用了不易受攻击的OpenSSL版本或未使用OpenSSL而不会受到攻击。”
截至4月14日
调查已完成,并确认某些华为产品受到影响。华为已经制定了修复计划,并开始了固定版本的开发和测试。华为将尽快发布安全联盟。敬请期待。
弱势产品
- Junos OS 13.3R1
- Odyssey客户端5.6r5及更高版本
- SSL VPN(IVEOS)7.4r1和更高版本,以及SSL VPN(IVEOS)8.0r1和更高版本(“解决方案”部分中列出了固定代码)
- UAC 4.4r1和更高版本以及UAC 5.0r1和更高版本(“解决方案”部分中列出了固定代码)
- Junos Pulse(Desktop)5.0r1及更高版本,Junos Pulse(Desktop)4.0r5及更高版本
- 网络连接(仅限Windows)版本7.4R5至7.4R9.1和8.0R1至8.0R3.1。(仅在FIPS模式下使用时,此客户端才会受到影响。)
- Android版本4.2R1及更高版本上的Junos Pulse(移动)。
- iOS版本4.2R1及更高版本上的Junos Pulse(移动)。(仅在FIPS模式下使用时,此客户端才会受到影响。)
Juniper知识中心-2014-04周期外安全公告:多个产品受到OpenSSL“ Heartbleed”问题的影响(CVE-2014-0160)
如Mike Pennington所言,如果可能的话,请禁用利用SSL并依赖于SSH的资源,SSH 并不容易受到攻击。
1 此清单是在2014年4月10日取得的,供应商可能仍在调查其产品。此列表不是漏洞指南,仅用于使原始发布者了解对网络设备的影响范围。