SecBoard
Zurück zur CVE-Übersicht

CVE-2021-3449

MEDIUM(5.9)

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H

Risk Signal Score34/100 — MITTEL
  • CVSS 5.9 — Mittel
  • EPSS 64%

EPSS-Score

63.5%

Exploit-Wahrscheinlichkeit (30 Tage)

CVSS Score

5.9

Technische Schwere

SecBoard-Einordnung

CVE-2021-3449 betrifft OpenSSL TLS-Server und ermöglicht einen Denial-of-Service (DoS) durch einen Absturz. Ursache ist eine NULL-Pointer-Dereferenzierung, die auftritt, wenn ein bösartig präpariertes TLSv1.2-Renegotiation-ClientHello gesendet wird, das bestimmte Erweiterungen weglässt oder enthält. Diese Schwachstelle betrifft OpenSSL-Versionen 1.1.1 bis 1.1.1j, sofern TLSv1.2 und Renegotiation aktiviert sind, was der Standardkonfiguration entspricht. Mit einem CVSS-Score von 5.9 (MEDIUM) und einer EPSS-Wahrscheinlichkeit von 64% für eine Ausnutzung ist diese Schwachstelle als moderat kritisch einzustufen. Obwohl sie nicht in CISAs () Katalog gelistet ist, deutet die hohe EPSS-Rate auf ein signifikantes Risiko einer zukünftigen oder bereits stattfindenden Ausnutzung hin. Ein erfolgreicher Angriff führt zu einem Dienstausfall des betroffenen Servers. Security-Teams sollten umgehend prüfen, ob sie betroffene OpenSSL-Versionen (1.1.1 bis 1.1.1j) einsetzen. Eine Priorisierung des Patchens auf OpenSSL 1.1.1k oder höher ist dringend empfohlen, um das Risiko eines Denial-of-Service zu minimieren. Falls ein sofortiges Update nicht möglich ist, sollten temporäre Mitigationen wie das Deaktivieren der TLS-Renegotiation in Betracht gezogen werden, sofern dies die Funktionalität nicht beeinträchtigt.

KI-gestützte Einordnung auf Basis der NVD-Daten.

Beschreibung

An OpenSSL TLS server may crash if sent a maliciously crafted renegotiation ClientHello message from a client. If a TLSv1.2 renegotiation ClientHello omits the signature_algorithms extension (where it was present in the initial ClientHello), but includes a signature_algorithms_cert extension then a NULL pointer dereference will result, leading to a crash and a denial of service attack. A server is only vulnerable if it has TLSv1.2 and renegotiation enabled (which is the default configuration). OpenSSL TLS clients are not impacted by this issue. All OpenSSL 1.1.1 versions are affected by this issue. Users of these versions should upgrade to OpenSSL 1.1.1k. OpenSSL 1.0.2 is not impacted by this issue. Fixed in OpenSSL 1.1.1k (Affected 1.1.1-1.1.1j).

Erkennung & Indikatoren

Ausnutzung

In den geprüften Quellen nicht genannt

Threat-Hunting-Queries

Detects potential denial-of-service attempts against OpenSSL TLS servers by monitoring for crashes or abnormal termination events. This query is behavioral and may require tuning to reduce false positives.

Sentinel/Defender KQL

DeviceProcessEvents
| where FileName contains "openssl"
| where ProcessCommandLine contains "tls" and ProcessCommandLine contains "server"
| where ActionType == "ProcessTerminated" or ActionType == "ProcessCrashed"
| summarize count() by DeviceName, FileName, ProcessCommandLine
| where count_ > 5 // Adjust threshold as needed for your environment

Splunk SPL

index=* (openssl OR "OpenSSL") (tls OR TLS) (server OR SERVER) (crash OR terminated OR "denial of service")
| stats count by host, sourcetype, _time
| where count > 5

Sigma

title: OpenSSL TLS Server Crash Detection
status: experimental
description: Detects potential OpenSSL TLS server crashes indicative of CVE-2021-3449 exploitation.
logsource:
  category: process_lifecycle
  product: windows
  service: security
detection:
  selection:
    Image|endswith: '\openssl.exe'
    CommandLine|contains: 'tls server'
    EventID: 4688 # Process Creation (Windows Security Event Log)
    ParentImage|endswith: '\services.exe' # Or other relevant parent process for a server
  condition: selection
falsepositives:
  - Legitimate server restarts or software updates
level: medium

Elastic ES|QL

from process.start
| where process.executable : "*openssl*" and process.args : "*tls*" and process.args : "*server*"
| where event.action : ("process_terminated", "process_crashed")
| stats count() by host.name, process.executable, process.command_line
| where count > 5

SecBoard-generated · behavioral · requires customization — Von SecBoard erzeugt und nicht in einer Zielumgebung validiert. Vor dem Einsatz an die eigene Protokollierung anpassen.

Indikatoren

Domains (1)

  • support2.windriver.com

Übernommen wurden nur Indikatoren, die wörtlich in einer Hersteller- oder Research-Quelle standen.

Betroffene Produkte

  • cpe:2.3:a:openssl:openssl:*:*:*:*:*:*:*:*
  • cpe:2.3:o:debian:debian_linux:9.0:*:*:*:*:*:*:*
  • cpe:2.3:o:debian:debian_linux:10.0:*:*:*:*:*:*:*
  • cpe:2.3:o:freebsd:freebsd:12.2:-:*:*:*:*:*:*
  • cpe:2.3:o:freebsd:freebsd:12.2:p1:*:*:*:*:*:*
  • cpe:2.3:o:freebsd:freebsd:12.2:p2:*:*:*:*:*:*
  • cpe:2.3:a:netapp:active_iq_unified_manager:-:*:*:*:*:vmware_vsphere:*:*
  • cpe:2.3:a:netapp:cloud_volumes_ontap_mediator:-:*:*:*:*:*:*:*
  • cpe:2.3:a:netapp:e-series_performance_analyzer:-:*:*:*:*:*:*:*
  • cpe:2.3:a:netapp:oncommand_insight:-:*:*:*:*:*:*:*
  • cpe:2.3:a:netapp:oncommand_workflow_automation:-:*:*:*:*:*:*:*
  • cpe:2.3:a:netapp:ontap_select_deploy_administration_utility:-:*:*:*:*:*:*:*
  • cpe:2.3:a:netapp:santricity_smi-s_provider:-:*:*:*:*:*:*:*
  • cpe:2.3:a:netapp:snapcenter:-:*:*:*:*:*:*:*
  • cpe:2.3:a:netapp:storagegrid:-:*:*:*:*:*:*:*
  • cpe:2.3:a:tenable:log_correlation_engine:*:*:*:*:*:*:*:*
  • cpe:2.3:a:tenable:nessus:*:*:*:*:*:*:*:*
  • cpe:2.3:a:tenable:nessus_network_monitor:5.11.0:*:*:*:*:*:*:*
  • cpe:2.3:a:tenable:nessus_network_monitor:5.11.1:*:*:*:*:*:*:*
  • cpe:2.3:a:tenable:nessus_network_monitor:5.12.0:*:*:*:*:*:*:*

Referenzen