阿里云漏洞库

CVE编号

CVE-2018-8970

利用情况

POC 已公开

补丁情况

官方补丁

披露时间

2018-03-25

LibreSSL是OpenBSD项目开发的一个OpenSSL加密软件库的分支，也是安全套接层（SSL）和传输层安全（TLS）协议的开源实现。

LibreSSL 2.7.1之前的2.7.0版本中的lib/libcrypto/x509/x509_vpm.c文件的‘int_x509_param_set_hosts’函数存在安全漏洞，该漏洞源于程序不支持长度为零的名称。攻击者可借助特制的证书利用该漏洞冒充服务器并获取敏感信息。

厂商已发布漏洞修复程序，请及时关注更新：
https://github.com/libressl-portable/openbsd/commit/0654414afcce51a16d35d05060190a3ec4618d42

参考链接
https://boringssl.googlesource.com/boringssl/+/e759a9cd84198613199259dbed401f...
https://ftp.openbsd.org/pub/OpenBSD/LibreSSL/libressl-2.7.1-relnotes.txt
https://github.com/libressl-portable/openbsd/commit/0654414afcce51a16d35d0506...

CWE-ID	漏洞类型
CWE-295	证书验证不恰当