Podatność CVE-2013-1624


Publikacja: 2013-02-08

Opis:
The TLS implementation in the Bouncy Castle Java library before 1.48 and C# library before 1.8 does not properly consider timing side-channel attacks on a noncompliant MAC check operation during the processing of malformed CBC padding, which allows remote attackers to conduct distinguishing attacks and plaintext-recovery attacks via statistical analysis of timing data for crafted packets, a related issue to CVE-2013-0169.

Typ:

CWE-310

(Cryptographic Issues)

CVSS2 => (AV:N/AC:H/Au:N/C:P/I:P/A:N)

Ogólna skala CVSS
Znaczenie
Łatwość wykorzystania
4/10
4.9/10
4.9/10
Wymagany dostęp
Złożoność ataku
Autoryzacja
Zdalny
Wysoka
Nie wymagana
Wpływ na poufność
Wpływ na integralność
Wpływ na dostępność
Częściowy
Częściowy
Brak
Affected software
Bouncycastle -> Legion-of-the-bouncy-castle-java-crytography-api 
Bouncycastle -> Legion-of-the-bouncy-castle-c%23-crytography-api 
Bouncycastle -> Legion-of-the-bouncy-castle-c#-crytography-api 
Bouncycastle -> Legion-of-the-bouncy-castle-c#-cryptography-api 

 Referencje:
http://openwall.com/lists/oss-security/2013/02/05/24
http://rhn.redhat.com/errata/RHSA-2014-0371.html
http://rhn.redhat.com/errata/RHSA-2014-0372.html
http://www.isg.rhul.ac.uk/tls/TLStiming.pdf

Copyright 2022, cxsecurity.com

 

Back to Top