The remote host is affected by an information disclosure vulnerability. The SSL/TLS service supports RSA key exchanges, and incorrectly leaks whether or not the RSA key exchange sent by a client was correctly formatted. This information can allow an attacker to decrypt previous SSL/TLS sessions or impersonate the server.

Note that this plugin does not attempt to recover an RSA ciphertext, however it sends a number of correct and malformed RSA ciphertexts as part of an SSL handshake and observes how the server responds.

This plugin attempts to discover the vulnerability in multiple ways, by not completing the handshake and by completing it incorrectly, as well as using a variety of cipher suites. Only the first method that finds the service to be vulnerable is reported.

This plugin requires report paranoia as some services will report as affected even though the issue is not exploitable.

BIG-IPバージョン11.6.0～11.6.2（11.6.2 HF1で修正）、12.0.0～12.1.2 HF1（12.1.2 HF2で修正）、13.0.0～13.0.0 HF2（13.0.0 HF3で修正）では、クライアントSSLプロファイルが構成されている仮想サーバーは、RSAに対する適応的選択暗号文攻撃（別名Bleichenbacher攻撃）に対して脆弱である可能性があり、悪用されると、攻撃者がサーバーの秘密鍵自体へのアクセス権を取得していないにもかかわらず、暗号化メッセージの平文リカバリ攻撃や中間者（MiTM）攻撃が発生する可能性があります（別名ROBOT攻撃）。（CVE-2017-6168）影響：この脆弱性を悪用して暗号化メッセージのプレーンテキストリカバリを実行した場合、通常は、セッションが完了してからでなければ攻撃者はプレーンテキストを読み取ることができません。RSA鍵交換を使用して確立されたTLSセッションのみがこの攻撃に対して脆弱です。この脆弱性を悪用してMiTM攻撃を行うには、攻撃者が初期攻撃を完了しておく必要があります。そのためには、構成されたハンドシェイクタイムアウトのウィンドウ内で、標的のセッションのハンドシェイクフェーズ中に数百万のサーバーリクエストが必要になる場合がありますこの攻撃は、RSA署名を使用するTLSセッションに対して実行できますが、RSA鍵交換を使用する暗号化パッケージも仮想サーバーで有効になっている必要があります。機会のあるウィンドウや帯域幅が限られていることや、レイテンシにより、この攻撃の実行は非常に難しくなります。この脆弱性は、次の構成のBIG-IPシステムに影響を及ぼします。RSA鍵交換が有効なクライアントSSLプロファイルに関連付けられた仮想サーバー。RSA鍵交換はデフォルトで有効になっています。エフェメラル暗号化パッケージ（DHEまたはECDHE）で暗号化されたキャプチャしたTLSセッションは、この脆弱性により、その後の復号のリスクはありません。重要：汎用アラートオプションを無効（デフォルトで有効）にしたクライアントSSLプロファイルで構成された仮想サーバーは、汎用メッセージではなく特定のハンドシェイクエラーを報告するため、リスクが高くなります。クライアント認証セクションのクライアント証明書オプションが必須に設定されているクライアントSSLプロファイルで構成された仮想サーバーでは、最初に正常に認証できる場合、攻撃者に対する脅威が制限されます。クライアント証明書認証がない場合、この攻撃は認証されず匿名になります。クライアントSSLプロファイル内でRSA鍵交換暗号化パッケージを完全に無効にした仮想サーバー（例：暗号文字列DEFAULT:!RSA）は、この脆弱性の影響を受けません。BIG-IP構成ユーティリティ、iControlサービス、big3d収集エージェント、Centralized Management Infrastructure（CMI）の接続は、この脆弱性の影響を受けません。Perfect Forward Secrecy（PFS）暗号化パッケージ（DHEまたはECDHE）を使用するセッションからキャプチャされたトラフィックは、この脆弱性のために復号できません。この脆弱性はRSA秘密鍵リカバリ攻撃ではないため、サーバーの秘密鍵を侵害しません。

On BIG-IP versions 11.6.0-11.6.2 (fixed in 11.6.2 HF1), 12.0.0-12.1.2 HF1 (fixed in 12.1.2 HF2), or 13.0.0-13.0.0 HF2 (fixed in 13.0.0 HF3) a virtual server configured with a Client SSL profile may be vulnerable to an Adaptive Chosen Ciphertext attack (AKA Bleichenbacher attack) against RSA, which when exploited, may result in plaintext recovery of encrypted messages and/or a Man-in-the-middle (MiTM) attack, despite the attacker not having gained access to the server's private key itself, aka a ROBOT attack. (CVE-2017-6168)

Impact

Exploiting this vulnerability to perform plaintext recovery of encrypted messages will, in most practical cases, allow an attacker to read the plaintext only after the session has completed. Only TLS sessions established using RSA key exchange are vulnerable to this attack.

Exploiting this vulnerability to conduct a MiTM attack requires the attacker to complete the initial attack, which may require millions of server requests, during the handshake phase of the targeted sessionwithin the window of the configured handshake timeout. This attack may be conducted against any TLS session using RSA signatures, but only if cipher suites using RSA key exchange are also enabled on the virtual server. The limited window of opportunity, limitations in bandwidth, and latencymake this attack significantly more difficult to execute.

This vulnerability affects BIG-IP systems with the following configuration :

A virtual server associated with a Client SSL profile with RSA key exchange enabled; RSA key exchange is enabled by default.Captured TLS sessions encrypted with ephemeral cipher suites (DHE or ECDHE) are not at risk for subsequent decryption due to this vulnerability.

Important :

Virtual servers configured with a Client SSL profile with the Generic Alert option disabled (enabled by default) are at higher risk because they report the specific handshake failure instead of a generic message.

Virtual servers configured with a Client SSL profile that has the Client Certificate option under the Client Authentication section set to require will limit the threat to attackers that are able to successfully authenticate first. Without client certificate authentication, this attack is unauthenticated andanonymous.

Virtual servers that have completely disabled RSA Key Exchange cipher suites within the Client SSL profile (for example, cipher string DEFAULT:!RSA ) are NOT impacted by this vulnerability.

BIG-IP Configuration utility, iControl services, big3d collection agent, and Centralized Management Infrastructure (CMI) connections are NOT impacted by this vulnerability.

Captured traffic from sessions using Perfect Forward Secrecy (PFS) cipher suites (DHE or ECDHE) cannot be decrypted due to this vulnerability.

This vulnerability is not an RSA private key recovery attack and does not compromise the servers private key.

リモートホストは、情報漏えいの脆弱性の影響を受けます。SSL/TLSサービスはRSA鍵交換をサポートしており、クライアントから送信されたRSA鍵交換が正しくフォーマットされているかどうかにかかわらず誤って漏えいさせます。この情報により、攻撃者は以前のSSL/TLSセッションを解読したり、サーバーを偽装したりできます。このプラグインはRSA暗号文を取得しませんが、SSLハンドシェイクの一部として複数の適正および不正なRSA暗号文を送信し、サーバーがどう応答するかを観察します。このプラグインは、ハンドシェイクを完了しない、正しく完了しない、各種の暗号スイートを使用することによって、複数の方法で脆弱性の発見を試みます。サービスが脆弱であると判断した1つ目の方法のみが報告されます。問題を悪用できない場合であっても、一部のサービスが影響を受けると報告が行われるため、このプラグインはreport paranoiaを必要とします。

BIG-IP 版本 11.6.0-11.6.2（11.6.2 HF1 中已修复）、12.0.0-12.1.2 HF1（12.1.2 HF2 中已修复）或 13.0.0-13.0.0 HF2（13.0.0 HF3 中已修复）中，配置有客户端 SSL 配置文件的虚拟服务器容易受到针对 RSA 的自适应选择密文攻击（又称为 Bleichenbacher 攻击），当此漏洞受到利用时，即使攻击者未获得服务器私钥本身的访问权限，也可能会造成加密消息明文恢复和/或中间人 (MiTM) 攻击，又称为 ROBOT 攻击。(CVE-2017-6168) 影响 在大部分实际情况中，利用此漏洞进行加密消息的明文恢复只有在会话完成后才能够让攻击者读取明文。只有使用 RSA 密钥交换建立的 TLS 会话会受到此攻击。利用此漏洞进行 MiTM 攻击要求攻击者在目标会话的握手阶段，于握手超时的窗口配置内完成初始攻击，这可能需要数百万次服务器请求。此攻击可能针对使用 RSA 签名的任何 TLS 会话进行，但前提是虚拟服务器上也启用了使用 RSA 密钥交换的密码套件。有限的机会窗口、带宽限制和延迟造成此攻击明显更难以执行。此漏洞会影响带有下列配置的 BIG-IP 系统：与启用了 RSA 密钥交换的客户端 SSL 配置文件相关联的虚拟服务器；RSA 密钥交换会默认启用。捕获到的使用临时密码套件（DHE 或 ECDHE）加密的 TLS 会话后续不存在受此漏洞解密的风险。重要：如果虚拟服务器的客户端 SSL 配置文件中禁用了 Generic Alert 选项（默认情况下会启用），则风险会较高，因为这些服务器会报告具体的握手失败消息，而不是一般消息。如果虚拟服务器的客户端 SSL 配置文件中将客户端身份验证部分下的客户端证书选项设置为需要，则会限制对能够首先成功进行身份验证的攻击者的威胁。没有客户端证书身份验证，此攻击就会未经身份验证且匿名。客户端 SSL 配置文件中完全禁用 RSA 密钥交换密码套件的虚拟服务器（例如，密码字符串 DEFAULT:!RSA）不受此漏洞影响。BIG-IP 配置实用工具、iControl 服务、big3d 收集代理和集中式管理基础架构 (CMI) 连接不受此漏洞影响。从使用了完全向前保密 (PFS) 密码套件（DHE 或 ECDHE）的会话中捕获到的流量不会受此漏洞解密。此漏洞不是 RSA 私钥恢复攻击，不会破坏服务器私钥。

在 11.6.0-11.6.2 (已在 11.6.2 HF1 中修正)、12.0.0-12.1.2 HF1 (已在 12.1.2 HF2 中修正) 或 13.0.0-13.0.0 HF2 (已在 13.0.0 HF3 中修正) 等 BIG-IP 版本中，設有用戶端 SSL 設定檔的虛擬伺服器，其 RSA 容易遭到「自動調整型選定加密文字」攻擊 (又稱為 Bleichenbacher 攻擊)，此弱點遭到利用時會造成加密訊息復原為純文字和/或攔截式 (MiTM) 攻擊，即使攻擊者並未獲得伺服器本身的私密金鑰也一樣 (又稱為 ROBOT 攻擊)。(CVE-2017-6168) 影響：若利用此弱點將加密訊息復原為純文字，則在大多數情況下會允許攻擊者僅在工作階段結束後讀取純文字訊息。只有使用 RSA 金鑰交換所建立的 TLS 工作階段容易遭到此攻擊。若要利用此弱點發動 MiTM 攻擊，攻擊者需先完成初步攻擊，初步攻擊可能需要在目標工作階段的交握期間 (已設定的交握逾時之窗口) 向伺服器發出數以百萬計的要求。此攻擊的發動方式可能會使用 RSA 簽名對任何 TLS 工作階段展開攻擊，但前提是虛擬伺服器也必須啟用使用 RSA 金鑰交換的加密套件。由於能發動此攻擊的時機、頻寬都很有限，加上延遲問題，此攻擊極難執行。此弱點會影響有下列設定的 BIG-IP 系統：與用戶端 SSL 設定檔相關聯且啟用 RSA 金鑰交換的虛擬伺服器；依照預設，RSA 金鑰交換為啟用狀態。由於此弱點之故，使用臨時加密套件 (DHE 或 ECDHE) 加密的擷取 TLS 工作階段在後續解密時無曝險之虞。重要：若以用戶端 SSL 設定檔來設定虛擬伺服器且停用「Generic Alert」選項 (預設為啟用)，則伺服器較容易遭到攻擊，因為它們會回報特定的交握失敗，而非通用訊息。若以用戶端 SSL 設定檔來設定虛擬伺服器，且在「用戶端驗證」區段底下的選項設為需要「用戶端憑證」，則可降低先順利通過驗證之攻擊者所造成的威脅。如不使用用戶端憑證驗證，則此攻擊不會經過驗證且為匿名攻擊。在用戶端 SSL 設定檔內完全停用 RSA 金鑰交換加密套件 (例如，使用加密字串 DEFAULT:!RSA) 的虛擬伺服器「不」受此弱點影響。BIG-IP 組態公用程式、iControl 服務、big3d 收集代理程式以及 Centralized Management Infrastructure (CMI) 連線「不」受此弱點影響。由於此弱點之故，使用完整轉寄密碼 (PFS) 加密套件 (DHE 或 ECDHE) 擷取的工作階段傳輸無法進行解密。此弱點並非 RSA 私密金鑰復原攻擊，因此不會影響伺服器的私密金鑰。

遠端主機受到資訊洩漏弱點的影響。SSL/TLS 服務支援 RSA 金鑰交換，且不論由用戶端傳送的 RSA 金鑰交換是否格式正確，皆可不當洩漏。攻擊者可藉此資訊將先前的 SSL/TLS 工作階段解密，或模擬伺服器。請注意，此外掛程式不會嘗試取得 RSA 加密文字，不過會在進行 SSL 交握時，傳送一些正確且格式錯誤的 RSA 加密文字，並觀察伺服器的回應方式。此外掛程式會嘗試用多種方式探查弱點：不完成交握、不正確完成交握及使用各種加密套件。系統只會報告第一種發現服務有弱點的方法。此外掛程式需要報告偏差，因為即使問題不可惡意利用，某些服務還是會提出受影響報告。

远程主机受到信息泄露漏洞的影响。SSL/TLS 服务支持 RSA 密钥交换，且会不当泄露，无论由客户端发送的 RSA 密钥交换是否正确格式化。该信息允许攻击者解密之前的 SSL/TLS 会话或模拟服务器。请注意，该插件并不试图恢复 RSA 密文，不过会在进行 SSL 握手时，发送一些正确且格式错误的 RSA 密文，并观察服务器如何响应。该插件试图通过多种方式探查漏洞，包括不完成握手和错误完成握手，以及使用各种密码套件。仅报告第一种发现服务易受攻击的方法。此插件需要报告偏差，因为即使问题不会遭到利用，某些服务还是会提出受影响报告。

ID	Name	Product	Family	Published	Updated	Severity
105415	Return Of Bleichenbacher's Oracle Threat (ROBOT) Information Disclosure	Nessus	General	11/8/2019	5/18/2022	high
104687	F5 Networks BIG-IP：BIG-IP SSLの脆弱性（K21905460）（ROBOT）	Nessus	F5 Networks Local Security Checks	11/20/2017	7/17/2019	high
104687	F5 Networks BIG-IP : BIG-IP SSL vulnerability (K21905460) (ROBOT)	Nessus	F5 Networks Local Security Checks	11/20/2017	7/17/2019	high
105415	Return Of Bleichenbacher's Oracle Threat（ROBOT）による情報漏えい	Nessus	General	11/8/2019	5/18/2022	high
104687	F5 网络 BIG-IP：BIG-IP SSL 漏洞 (K21905460) (ROBOT)	Nessus	F5 Networks Local Security Checks	11/20/2017	7/17/2019	high
104687	F5 網路 BIG-IP：BIG-IP SSL 弱點 (K21905460) (ROBOT)	Nessus	F5 Networks Local Security Checks	11/20/2017	7/17/2019	high
105415	Return Of Bleichenbacher's Oracle Threat (ROBOT) Information Disclosure	Nessus	General	11/8/2019	5/18/2022	high
105415	Return Of Bleichenbacher's Oracle Threat (ROBOT) Information Disclosure	Nessus	General	11/8/2019	5/18/2022	high

Detections

Analytics

Plugins Search

high

high

high

high

high

high

high

high