The POODLE attack (SSLv3 supported) 漏洞修复

清疚 2022-04-22 12:38 197阅读 0赞

ssl是haproxy配置，上线后扫描发现以下漏洞

Vulnerability description  
Websites that support SSLv3 and CBC-mode ciphers are potentially vulnerable to an active MITM (Man-in-the-middle) attack. This attack, called POODLE, is similar to the BEAST attack and also allows a network attacker to extract the plaintext of targeted parts of an SSL connection, usually cookie data. Unlike the BEAST attack, it doesn't require such extensive control of the format of the plaintext and thus is more practical.

Any website that supports SSLv3 is vulnerable to POODLE, even if it also supports more recent versions of TLS. SSLv3 is disabled by default in Firefox 34, which was released on Nov 25 2014. Affected items  
Server   
The impact of this vulnerability  
An attacker may be able to exploit this problem to conduct man-in-the-middle attacks and decrypt communications between the affected service and clients.

How to fix this vulnerability  
It's recommended to disable SSLv3 and replace it with TLSv1.0 as soon as compatibility with legacy clients is no longer required. (The only browser that does not support TLSv1.0 is Internet Explorer 6).

To disable SSLv2 and SSLv3:   
For Apache:  
SSLProtocol all -SSLv2 -SSLv3  
For Nginx:  
ssl\_protocols TLSv1 TLSv1.1 TLSv1.2;

修复：

在haproxy全局加入

ssl-default-bind-options no-sslv3

重启haproxy，重新扫描即可

发表评论取消回复

表情：

评论列表（有 0 条评论，197人围观）

还没有评论，来说两句吧...

相关阅读

相关 POODLE漏洞：危害与防范措施

POODLE漏洞：危害与防范措施文章目录 POODLE漏洞：危害与防范措施 1. 简介 2. 漏洞原理解析 3. 漏

青旅半醒/ 2023年10月14日 16:22/ 0 赞/ 103 阅读

相关 ssrf漏洞修复(ssrf漏洞修复方式)

ssrf漏洞原理 SSRF漏洞属于前端漏洞的一种，造成危害的要素是：攻击者可参与构造（多以传入参数的形式）服务器所对外发送请求的内容（如协议、地址、路径、参数等）。因此SS

﹏ヽ暗。殇╰゛Y/ 2023年09月26日 10:42/ 0 赞/ 84 阅读

相关漏洞：会话固定攻击（session fixation attack）

什么是会话固定攻击？会话固定攻击（session fixation attack）是利用应用系统在服务器的会话ID固定不变机制，借助他人用相同的会话ID获取认证和授权，

Love The Way You Lie/ 2023年06月26日 05:43/ 0 赞/ 14 阅读

相关漏洞修复：javascript框架库漏洞

漏洞修复：javascript框架库漏洞重现方案一：升级Servlet3.0需要兼容 Java EE 6.0 的容器，如Tomcat7 方案二：利用

曾经终败给现在/ 2023年05月29日 02:27/ 0 赞/ 44 阅读

相关 [055] SSL 3.0曝出Poodle漏洞的解决方案-----开发者篇

SSL 3.0曝出高危漏洞 2014年10月15日，Google研究人员公布SSL 3.0协议存在一个非常严重的漏洞，该漏洞可被黑客用于截取浏览器与服务器之间进行传输的加密数

爱被打了一巴掌/ 2022年08月13日 14:48/ 0 赞/ 257 阅读

相关 [054] SSL 3.0曝出Poodle漏洞的解决方案-----网民篇

SSL 3.0曝出高危险漏洞 2014年10月15日，Google研究人员公布SSL 3.0协议存在一个非常严重的漏洞，更让人不安的是几乎所有的浏览器都支持SSL 3.0协议

Love The Way You Lie/ 2022年08月13日 14:48/ 0 赞/ 431 阅读

相关 The POODLE attack (SSLv3 supported) 漏洞修复

ssl是haproxy配置，上线后扫描发现以下漏洞 Vulnerability description Websites that support SSLv3 and C

清疚/ 2022年04月22日 12:38/ 0 赞/ 198 阅读

相关网站漏洞怎么修复代码漏洞

jeecms 最近被爆出高危网站漏洞，可以导致网站被上传webshell木马文件，受影响的版本是jeecms V6.0版本到jeecmsV7.0版本。该网站系统采用的是JAVA

本是古典何须时尚/ 2022年02月14日 17:44/ 0 赞/ 345 阅读

相关 Google发布SSLv3漏洞简要分析报告

摘要：今天上午，Google发布了一份关于SSLv3漏洞的简要分析报告。根据Google的说法，该漏洞贯穿于所有的SSLv3版本中，利用该漏洞，黑客可以通过中间人攻击等类似的方

约定不等于承诺〃/ 2021年12月17日 14:57/ 0 赞/ 232 阅读

相关阿里云漏洞修复

如果不是工作而是自己使用的话，相信大部分人的服务器买的都是低配版的，因此服务器有可能会出现漏洞，这时候我们需要手动去修复这些漏洞，高配版的可以一键修复。其实手动修复也是很

刺骨的言语ヽ痛彻心扉/ 2021年11月23日 01:22/ 0 赞/ 386 阅读