信息提供：

漏洞類別：

攻擊類型：

發(fā)布日期：

更新日期：

受影響系統(tǒng)：

安全系統(tǒng)：

無

漏洞報(bào)告人：

漏洞描述：

BUGTRAQ ID: 6448

nCipher公司提供系列的硬件和軟件安全產(chǎn)品。

nCipher PKCS#11庫(kù)的訪問控制組件存在問題，使的在部分環(huán)境下，受此影響的設(shè)備和組件可能輸出明文密鑰。

nCipher模塊可用于多個(gè)工業(yè)標(biāo)準(zhǔn)API，在這當(dāng)中，nCipher提供與RSA實(shí)驗(yàn)室PKCS#11加密Token接口標(biāo)準(zhǔn)(Cryptoki)相兼容的加密庫(kù)。

nCipher PKCS#11庫(kù)存在實(shí)現(xiàn)錯(cuò)誤，由于訪問控制組件的問題，導(dǎo)致設(shè)備和應(yīng)用程序?qū)С雒魑拿荑€或保護(hù)密鑰不正確不強(qiáng)壯。

使用nCipher PKCS#11庫(kù)的應(yīng)用程序可能受此漏洞影響。

下列應(yīng)用程序由于沒有通過PKCS#11集成nCipher所以不受此漏洞影響：

Apache

IBM Websphere (using BHAPI interface only)

iPlanet Proxy Server

Microsoft Exchange Server

Microsoft Internet Information Server (IIS)

Microsoft ISA Server

Microsoft Windows 2000 Certificate Server

Netscape Enterprise Server 3.x (但iPlanet受此漏洞影響)

Stronghold webserver

Tivoli Access Manager, Web Seal version 3.9

Oracle 9i R2 Database Advanced Security Option

使用如下API編寫的應(yīng)用程序不受此漏洞影響：

nCore/NFKM (以前稱為`the nFast API')

CHIL (`hwcrhk')

Microsoft CAPI

OpenSSL

BHAPI

nCipher supplied JCA and/or JCE providers

nFast 800或以前的nFast產(chǎn)品只提供加速功能而不支持KEY管理的不受此漏洞影響。

測(cè)試方法：

無

解決方法：

請(qǐng)聯(lián)系供應(yīng)商獲得補(bǔ)丁：

http://www.ncipher.com/support/advisories/

此補(bǔ)丁可使用在如下平臺(tái)下：

AIX 4.3.3

AIX 5L (32 bit only)

HP-UX 10.20 / HP-UX 11

Linux libc6 / Linux libc6.1

Solaris 2.6 / Solaris 2.7 / Solaris 2.8 / Solaris 2.9

Trusted Solaris 2.8

Windows NT 4 / Windows 2000