紧急通知：用户必须尽快修复 OpenSSL、OpenSSH 和 Pi-hole Web 的漏洞！
我要评论OpenSSL、紧急尽快OpenSSH和Pi-hole Web是通知一些常用的工具，由于互联网威胁层出不穷 ，用户各类漏洞需要在第一时间发现并做出响应 ，必须在本期的修复安全摘要中 ，我们将与您分享几个关于这些产品的漏洞最新漏洞信息以及相应的缓解方法，希望对您的紧急尽快网络安全有所帮助 。
延伸阅读 ，通知了解Akamai的用户安全解决方案
在本摘要中 ，我们将主要关注以下漏洞
OpenSSL安全公告;OpenSSH Server中的高防服务器必须双重释放漏洞;Pi-hole Web 中的会话处理不当 。OpenSSL安全公告
OpenSSL 是修复一个用于通用加密和安全通信的工具包。
X.509 通用名称中的漏洞 X.400 地址类型混淆 (CVE-2023-0286)漏洞描述
此漏洞是由于 X.400 地址解析期间 x400地址字段的 ANS1_STRING 和 ANS1_TYPE 类型混淆所造成的。在某些情况下 ，紧急尽快攻击者可以将任意指针推送到 memcmp，通知从而允许他们从内存中读取数据 ，用户或者发起拒绝服务攻击 。
OpenSSL 3.0 、1.1.1 和 1.0.2 容易受到此问题的源码库影响 。此漏洞被赋予了高严重性。
缓解措施
OpenSSL 公告建议使用3.0版本的用户升级到 OpenSSL 3.0.8 ，使用1.0 版本的用户升级到 OpenSSL 1.1.1t 。
RSA 解密中的Timing Oracle (CVE-2022-4304)漏洞描述
OpenSSL 中的 RSA 解密实现容易受到影响所有 RSA 填充模式（PKCS#1 v1.5 、RSA-OEAP 和 RSASVE）的攻击 ，并可能导致攻击者解密流量 。
OpenSSL 3.0、1.1.1 和 1.0.2 容易受到此问题的影响 。此漏洞的建站模板严重性为中等 。
缓解措施
OpenSSL 公告建议使用3.0版本的用户升级到 OpenSSL 3.0.8，使用1.0 版本的用户升级到 OpenSSL 1.1.1t 。
X.509 名称约束读取缓冲区溢出 (CVE-2022-4203)漏洞描述
OpenSSL 中的 X.509 实现在处理签名的恶意证书时容易受到缓冲区溢出的影响 ，这可能导致拒绝服务攻击或理论上的私有内存泄漏 。
OpenSSL 3.0.0 到 3.0.7 版本容易受到此问题的影响 。此漏洞的严重程度为中等 。
缓解措施
OpenSSL 公告建议使用3.0版本的源码下载用户升级到 OpenSSL 3.0.8。
遵循 BIO_new_NDEF 的 Use-after-free (CVE-2023-0215)漏洞描述
许多公共 API 函数调用了不安全的辅助函数，这在某些情况下会导致崩溃 。据信这可用于创建拒绝服务攻击 。 OpenSSL 3.0 、1.1.1 和 1.0.2 容易受到此问题的影响 。
OpenSSL cms 和 smime 命令行应用程序同样受到影响。此漏洞的严重程度为中等 。
缓解措施
OpenSSL 公告建议使用3.0版本的用户升级到 OpenSSL 3.0.8 ，使用1.0 版本的用户升级到 OpenSSL 1.1.1t 。模板下载
调用 PEM_read_bio_ex 后双重释放 (CVE-2022-4450)漏洞描述
OpenSSL 中生成标头和数据参数的函数包含一个实现错误，该错误可能导致两次释放缓冲区 ，从而导致崩溃 。如果被攻击者利用，这可能会导致拒绝服务攻击 。这个函数被许多其他 OpenSSL 函数调用 ，从而增加了攻击面 。
OpenSSL 3.0 和 1.1.1 容易受到此问题的影响 。 OpenSSL asn1parse 命令行应用程序也受此问题影响 。此漏洞的严重程度为中等。
缓解措施
OpenSSL 公告建议使用3.0版本的用户升级到 OpenSSL 3.0.8 ，使用1.0 版本的免费模板用户升级到 OpenSSL 1.1.1t 。
d2i_PKCS7函数中的指针取消引用无效 (CVE-2023-0216)漏洞描述
当应用程序尝试在某些函数中加载格式错误的 PKCS7 数据时，可能会触发读取时无效指针取消引用。这可能会导致拒绝服务攻击 。
OpenSSL 3.0.0 到 3.0.7 版本容易受到此问题的影响。此漏洞的严重程度为中等 。
缓解措施
OpenSSL 公告建议使用3.0版本的用户升级到 OpenSSL 3.0.8。
空取消引用验证 DSA 公钥 (CVE-2023-0217)漏洞描述
当应用程序试图在某些函数中加载格式错误的 DSA 公钥时 ，可能会触发读取时无效指针取消引用。这可能会导致拒绝服务攻击 。
OpenSSL 3.0.0 到 3.0.7 版本容易受到此问题的影响 。此漏洞的严重程度为中等 。
缓解措施
OpenSSL 公告建议使用3.0版本的用户升级到 OpenSSL 3.0.8 。
PKCS7 数据验证期间的空取消引用 (CVE-2023-0401)漏洞描述
当在 PKCS7 signed 上验证签名时 ，可以取消引用空指针 ，当算法为 OpenSSL 已知但实现不是时 ，这可能导致崩溃 。攻击者可以利用这一点来促进拒绝服务攻击 。
OpenSSL 3.0.0 到 3.0.7 版本容易受到此问题的影响 。此漏洞的严重程度为中等。
缓解措施
OpenSSL 公告建议使用3.0版本的用户升级到 OpenSSL 3.0.8 ，使用1.0 版本的用户升级到 OpenSSL 1.1.1t 。
OpenSSH Server中的双重释放漏洞
OpenSSH Server 是一种允许您安全地创建远程终端会话的工具 。
漏洞描述
OpenSSH 中的CVE-2023-25136是由于内存被释放两次而发生的。这发生在身份验证之前 ，但远程代码执行被认为不可利用 ，部分原因是包含漏洞的进程也容易受到沙盒攻击 。已经有证明拒绝服务攻击的概念证明。
OpenSSH Server 9.1 版本容易受到此问题的影响 。此漏洞的严重性为中等 。
缓解措施
Qualys建议用户升级到 OpenSSH 9.2 版本以缓解此漏洞 。
Pi-hole Web 中的会话处理不当
Pi-hole Web 是用于与 pihole 交互的网络实用程序 ，pihole 是一种具有内置广告和恶意域阻止功能的 DNS 服务器实现。
漏洞描述
GitHub 用户 PromoFaux 在GitHub 安全公告中报告了CVE-2023-23614 。该漏洞来自一个拉取请求 ，该请求引入了保持登录状态 7 天的功能 。该功能是通过将用户的密码散列存储在 cookie 中实现的，如果用户的散列被盗 ，攻击者可以窃取该 cookie 。此哈希可用于制作具有任意到期时间的新 cookie，并且在受影响的用户更改其密码之前一直有效。
该漏洞影响 Pi-hole Web 4.0 – 5.18.2 版本。此漏洞的严重性为高 。
缓解措施
开发者建议Pi-hole Web用户升级到5.18.3或更新版本 。
相关文章
9月5日，结合国家网络安全宣传周进军营，2022年军营网络安全宣传周活动正式启动。这次活动的主题是“文明上网安全用网依法治网，共建共享清朗涉军网络环境”，旨在教育引导官兵深刻认清网络安全的重要地位作用2025-12-07
以朵唯D330怎么样——一款实用便携的智能手机（出色的性能与时尚外观，为用户提供全方位的使用体验）
作为一款实用便携的智能手机，朵唯D330凭借其出色的性能和时尚外观，成为了许多用户的首选。无论是日常生活还是工作使用，这款手机都能为用户提供全方位的使用体验。下面将从多个方面详细介绍朵唯D330的功能2025-12-07
今天我们来聊聊正向代理和反向代理。图片01 正向代理Forward Proxy）正向代理是位于用户设备和互联网之间的服务器。它代理的是客户端，是站在用户一方的。其真实客户端对于服务器不可见。正向代理通2025-12-07
在数字化转型的浪潮中，云计算作为关键的基础设施，正不断推动着各行各业向智能化迈进。随着人工智能技术的飞速发展，云计算与AI的融合已成为行业的新趋势。曙光云，作为国内领先的云服务商，凭借15年的深厚积累2025-12-07
The cyber express 网站消息，某论坛用户爆料知名体育用品零售商迪卡侬一起数据泄露事件，大约 8000 名员工个人信息在此前迪卡侬数据泄露事件中被曝光，这些信息目前已在暗网上“共享”。据2025-12-07
AMD英特尔罕见结盟，破天荒邀请谷歌、微软、Meta坐镇，基辛格直呼超现实：x86不死！网友：对手竟然不是英伟达
编辑| 伊风出品 | 51CTO技术栈微信号：blog51cto）起猛了，睡醒看到 AMD 和 英特尔官宣合作了！不过不是为了对抗英伟达~就在联想西雅图的 Tech World 大会上，英特尔和 AM2025-12-07
最新评论