漏洞信息详情
Microsoft .NET Framework ASP.NET Padding Oracle攻击信息泄露漏洞
- CNNVD编号:CNNVD-201009-226
- 危害等级: 超危
- CVE编号: CVE-2010-3332
- 漏洞类型: 加密问题
- 发布时间: 2010-09-26
- 威胁类型: 远程
- 更新时间: 2020-11-24
- 厂 商: microsoft
- 漏洞来源: Juliano RizzoThai ...
漏洞简介
Microsoft .NET Framework是美国微软(Microsoft)公司开发的一种全面且一致的编程模型,也是一个用于构建Windows、Windows Store、Windows Phone、Windows Server和Microsoft Azure的应用程序的开发平台。该平台包括C#和Visual Basic编程语言、公共语言运行库和广泛的类库。
使用.NET Framework所编译的ASP.Net应用中没有正确地实现加密,攻击者可以解密并篡改敏感数据。 如果要理解这个漏洞,首先要了解加密系统中的提示机制,当你提出问题时提示机制会给出某种形式的答案。此漏洞涉及到ASP.NET对加密信息中填充数据的提示,攻击者可以通过向Web服务器发送特定的密文文本,然后通过检查所返回的出错代码来判断数据是否被正确解密。通过反复上述操作,攻击者就可以收集到足够的信息用来解密剩余部分的密文文本。 成功利用这个漏洞的攻击者可以查看目标服务器上加密的数据,如View State字段中包含的加密信息,在高版本的ASP.NET框架中读取目标服务器上的ASP.NET应用文件,比如web.config。
漏洞公告
目前厂商已经发布了升级补丁以修复此安全问题,补丁获取链接:
http://technet.microsoft.com/en-us/security/bulletin/MS10-070
参考网址
来源:MISC
链接:http://pentonizer.com/general-programming/aspnet-poet-vulnerability-what-else-can-i-do/
来源:VUPEN
链接:http://www.vupen.com/english/advisories/2010/2751
来源:SECTRACK
链接:http://securitytracker.com/id?1024459
来源:CONFIRM
链接:http://weblogs.asp.net/scottgu/archive/2010/09/18/important-asp-net-security-vulnerability.aspx
来源:MS
链接:https://docs.microsoft.com/en-us/security-updates/securitybulletins/2010/ms10-070
来源:MISC
链接:http://threatpost.com/en_us/blogs/new-crypto-attack-affects-millions-aspnet-apps-091310
来源:MISC
链接:http://www.dotnetnuke.com/Community/Blogs/tabid/825/EntryId/2799/Oracle-Padding-Vulnerability-in-ASP-NET.aspx
来源:CONFIRM
链接:http://www.mono-project.com/Vulnerabilities#ASP.NET_Padding_Oracle
来源:MISC
链接:http://www.troyhunt.com/2010/09/fear-uncertainty-and-and-padding-oracle.HTML
来源:CONFIRM
链接:http://blogs.technet.com/b/srd/archive/2010/09/17/understanding-the-asp-net-vulnerability.aspx
来源:SECUNIA
链接:http://secunia.com/advisories/41409
来源:CONFIRM
链接:http://www.microsoft.com/technet/security/advisory/2416728.mspx
来源:XF
链接:https://exchange.xforce.ibmcloud.com/vulnerabilities/61898
来源:VUPEN
链接:http://www.vupen.com/english/advisories/2010/2429
来源:OVAL
链接:https://oval.cisecurity.org/repository/search/definition/oval%3Aorg.mitre.oval%3Adef%3A12365
来源:MISC
链接:http://isc.sans.edu/diary.HTML?storyid=9568
来源:BID
链接:https://www.securityfocus.com/bid/43316
来源:MISC
链接:http://twitter.com/thaidn/statuses/24832350146
来源:MISC
链接:http://www.ekoparty.org/juliano-rizzo-2010.php
来源:MISC
链接:http://www.theinquirer.net/inquirer/news/1732956/security-researchers-destroy-microsoft-aspnet-security
受影响实体
- Microsoft .Net_framework:3.5:Sp1
- Microsoft .Net_framework:2.0:Sp1
- Microsoft .Net_framework:3.5.1
- Microsoft .Net_framework:4.0
- Microsoft .Net_framework:2.0:Sp2
补丁
- Security Update for Microsoft .NET Framework 3.5 Service Pack 1, Windows Vista Service Pack 2, and Windows Server 2008 Service Pack 2
- Security Update for Microsoft .NET Framework 3.5 Service Pack 1 and .NET Framework 2.0 Service Pack 2 on Windows Server 2003 and Windows XP
- Security Update for Microsoft .NET Framework 3.5 on Windows Server 2003 and Windows XP
- Security Update for Microsoft .NET Framework 3.5 Service Pack 1 on Windows XP, Windows Server 2003, Windows Vista, and Windows Server 2008
- Security Update for Microsoft .NET Framework 4
![weinxin](http://zone.ci/zone_ci_images/zone.ci.png)
评论