关于WPA2无线网络密钥重装漏洞的安全公告

2017年10月18日 11:17 1779

安全公告编号:CNTA-2017-0070

近日,国家信息安全漏洞共享平台(CNVD)收录了多个WPA2无线网络密钥重装漏洞(CNVD-2017-30397、CNVD-2017-30398、CNVD-2017-30399、CNVD-2017-30400、CNVD-2017-30401、CNVD-2017-30402、CNVD-2017-30403、CNVD-2017-30404、CNVD-2017-30405、CNVD-2017-30406,对应CVE-2017-13088、CVE-2017-13087、CVE-2017-13086、CVE-2017-13084、CVE-2017-13082、CVE-2017-13081、CVE-2017-13080、CVE-2017-13079、CVE-2017-13078、CVE-2017-13077)。远程攻击者可利用漏洞攻击可能包括任意数据包解密和注入,TCP连接劫持,HTTP内容注入或单播和组寻址帧的重放。


一、漏洞情况分析

WPA全名为Wi-FiProtected Access,中文译名Wi-Fi网络安全接入,包括:WPA和WPA2两个标准,是一种保护无线电脑网络(Wi-Fi)安全的系统。WPA2 (WPA 第二版)是基于WPA的一种新的加密方式,具备完整的IEEE 802.11i标准体系。

 WPA2无线网络加密协议漏洞,入侵方式被称作“密钥重装攻击”。Wi-Fi保护访问II(WPA2)握手流量可以被操纵以引起随机数和会话密钥重用,导致无线接入点(AP)或客户端重新安装密钥。受影响的AP和客户端范围内的攻击者可能利用这些漏洞进行依赖于所使用的数据机密性协议的攻击。远程攻击者可利用漏洞攻击可能包括任意数据包解密和注入,TCP连接劫持,HTTP内容注入或单播和组寻址帧的重放。

CNVD对该漏洞的综合评级为“中危”。


二、漏洞影响范围

受影响的厂商如下:

Aruba Networks、Cisco、Espressif Systems、Fortinet, Inc.、FreeBSD Project、Google、HostAP、Intel Corporation、Juniper Networks、Microchip Technology、Microsoft Corporation、OpenBSD、Peplink、Red Hat, Inc.、Samsung Mobile。


三、处置措施

目前,已修复该漏洞的厂商如下,CNVD建议用户及时下载补丁进行更新:

Cisco:https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20171016-wpa

Intel Corporation: https://security-center.intel.com/advisory.aspx?intelid=INTEL-SA-00101&languageid=en-fr

Juniper:http://kb.juniper.net/JSA10827

Microsoft:https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-13080

Aruba:http://www.arubanetworks.com/assets/alert/ARUBA-PSA-2017-007.txt

Broadcom: Advisory will be distributeddirectly to customers

Marvell: Advisory to be distributeddirectly to customers

Mojo Networks:http://www.mojonetworks.com/wpa2-vulnerability

Peplink:https://forum.peplink.com/t/security-advisory-wpa2-vulnerability-vu-228519/12715

Sierra Wireless:https://source.sierrawireless.com/resources/airlink/software_reference_docs/technical-bulletin/sierra-wireless-technical-bulletin—wpa-and-wpa2-vulnerabilities/

WatchGuard:https://www.watchguard.com/wgrd-blog/wpa-and-wpa2-vulnerabilities-update

Wi-Fi Alliance:https://www.wi-fi.org/securityupdate2017


附:参考链接:

https://www.kb.cert.org/vuls/id/228519/

http://www.securityfocus.com/bid/101274

http://www.cnvd.org.cn/flaw/show/CNVD-2017-30377

http://www.cnvd.org.cn/flaw/show/CNVD-2017-30378

http://www.cnvd.org.cn/flaw/show/CNVD-2017-30379

http://www.cnvd.org.cn/flaw/show/CNVD-2017-30380

http://www.cnvd.org.cn/flaw/show/CNVD-2017-30381

http://www.cnvd.org.cn/flaw/show/CNVD-2017-30382

http://www.cnvd.org.cn/flaw/show/CNVD-2017-30384

http://www.cnvd.org.cn/flaw/show/CNVD-2017-30386

http://www.cnvd.org.cn/flaw/show/CNVD-2017-30387

http://www.cnvd.org.cn/flaw/show/CNVD-2017-30388


*转载自国家信息安全漏洞共享平台,原文地址:http://www.cnvd.org.cn/webinfo/show/4261


阿里聚安全

阿里聚安全(http://jaq.alibaba.com)由阿里巴巴安全部出品,面向企业和开发者提供互联网业务安全解决方案,全面覆盖移动安全、数据风控、内容安全、实人认证等维度,并在业界率先提出“以业务为中心的安全”,赋能生态,与行业共享阿里巴巴集团多年沉淀的专业安全能力。

标签

  • 短信
  • 积分兑换
  • 仿冒应用
  • 漏洞分析
  • 漏洞预警
  • 年度报告
  • 安全报告
  • 病毒分析
  • 阿里聚安全
应用更安全,用户更放心! 立即登录