CVE-2009-3555

सारांश

TLS प्रोटोकॉल, और SSL प्रोटोकॉल 3.0 तथा संभवतः पहले के संस्करण, जैसा कि Microsoft Internet Information Services (IIS) 7.0, Apache HTTP Server 2.2.14 और उससे पहले के संस्करणों में mod_ssl, OpenSSL 0.9.8l से पहले, GnuTLS 2.8.5 और उससे पहले के संस्करण, Mozilla Network Security Services (NSS) 3.12.4 और उससे पहले के संस्करण, कई Cisco उत्पादों और अन्य उत्पादों में उपयोग किया जाता है, पुनः-वार्ता (renegotiation) हैंडशेक को किसी मौजूदा कनेक्शन के साथ सही ढंग से संबद्ध नहीं करता है। इससे man-in-the-middle हमलावर HTTPS सत्रों में, तथा संभवतः TLS या SSL द्वारा सुरक्षित अन्य प्रकार के सत्रों में भी, एक अनप्रमाणित अनुरोध भेजकर डेटा सम्मिलित कर सकते हैं, जिसे सर्वर द्वारा पुनः-वार्ता के बाद के संदर्भ में पूर्वव्यापी रूप से संसाधित किया जाता है। यह एक "plaintext injection" हमले से संबंधित है, जिसे "Project Mogul" समस्या के रूप में जाना जाता है।

• Mozilla NSS - NULL Character CA SSL Certificate Validation Security Bypassएक्सप्लॉइट

  Dan Kaminsky · multiple · 10 नव॰ 2009

• TLS - Renegotiation