Sammenfatning
ESET blev gjort opmærksom på en sårbarhed i sin SSL/TLS-protokolscanningsfunktion, som er tilgængelig i ESET-produkter, der er anført i afsnittet Berørte produkter nedenfor. Denne sårbarhed ville få en browser til at stole på et websted med et certifikat, der er underskrevet med en forældet algoritme, som man ikke bør stole på.
Detaljer
Sårbarheden i funktionen til sikker trafikscanning skyldtes forkert validering af serverens certifikatkæde. Et mellemliggende certifikat, der var underskrevet med MD5- eller SHA1-algoritmen, blev betragtet som pålideligt, og derfor kunne browseren på et system med ESET's funktion til sikker trafikscanning aktiveret få den til at stole på et websted, der var sikret med et sådant certifikat.
Så vidt vi ved, er denne sårbarhed ikke blevet udnyttet i naturen.
CVE-ID reserveret af ESET for sårbarheden er CVE-2023-5594, CVSS v3.1-scoren er 7,5 med følgende CVSS-vektor: AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:L/A:N
Løsning
ESET har forberedt en rettelse og distribueret den automatisk i internetbeskyttelsesmodul 1464. Modulet distribueres via automatiske produktopdateringer, så der kræves ingen brugerinteraktion. Distributionen af modulet startede den 21. november 2023 for kunder, der bruger pre-release-opdateringskanalen, den 27. november 2023 for brugere af ESET-forbrugerprodukter og den 11. december 2023 for brugere, der bruger ESET-forretnings- og serverprodukter.
Berørte produkter
- ESET NOD32 Antivirus, ESET Internet Security, ESET Smart Security Premium, ESET Security Ultimate
- ESET Endpoint Antivirus til Windows og ESET Endpoint Security til Windows
- ESET Endpoint Antivirus til Linux 10.0 og nyere
- ESET Server Security for Windows Server (File Security for Microsoft Windows Server), ESET Mail Security for Microsoft Exchange Server, ESET Mail Security for IBM Domino, ESET Security for Microsoft SharePoint Server, ESET File Security for Microsoft Azure
- ESET Server Security til Linux 10.1 og derover
Feedback og support
Hvis du har feedback eller spørgsmål om dette problem, bedes du kontakte os via ESET Security Forum eller via local ESET Technical Support.
Anerkendelse
ESET værdsætter principperne om ansvarlig offentliggørelse inden for sikkerhedsbranchen og vil gerne udtrykke vores tak til den unavngivne rapportør.
Versionslog
Version 1.0 (20. december 2023): Første version af dette dokument
