CVE-2016-9244

Wysokie

Opublikowano: 09/02/2017(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Streszczenie

Serwer wirtualny BIG-IP skonfigurowany z profilem SSL dla klientów, który ma włączoną opcję biletów sesyjnych, może ujawniać do 31 bajtów niezainicjowanej pamięci. Zdalny atakujący może wykorzystać tę podatność do uzyskania identyfikatorów sesji SSL z innych sesji.

Ocena ryzyka

Organizacja może być narażona na kradzież identyfikatorów sesji SSL, co może prowadzić do nieautoryzowanego dostępu do danych użytkowników. Ujawnienie innych danych z niezainicjowanej pamięci może również stanowić zagrożenie dla poufności informacji.

Rekomendacja

Zaleca się wyłączenie opcji biletów sesyjnych w profilach SSL dla klientów, aby zminimalizować ryzyko wycieku danych. Regularne aktualizacje i monitorowanie konfiguracji serwera również pomogą w zabezpieczeniu systemu.

Inne podatności w BIG-IP virtual server

CVE-2016-9249Wysokie
Nieujawniony wzór ruchu otrzymany przez serwer wirtualny BIG-IP z włączonym TCP Fast Open może spowodować ponowne uruchomienie mikrojądra zarządzania ruchem (TMM), co prowadzi do odmowy usługi (DoS).

Oryginalny opis (angielski, źródło NVD)

A BIG-IP virtual server configured with a Client SSL profile that has the non-default Session Tickets option enabled may leak up to 31 bytes of uninitialized memory. A remote attacker may exploit this vulnerability to obtain Secure Sockets Layer (SSL) session IDs from other sessions. It is possible that other data from uninitialized memory may be returned as well.