漏洞案例公开漏洞记录
CVE-2014-3566SSLv3 POODLE 填充预言机漏洞
SSLv3 的填充处理允许中间人通过反复请求推测加密 Cookie 等敏感数据。
漏洞概览
- CVE 编号
- CVE-2014-3566
- 影响产品
- SSLv3 实现及支持 SSLv3 的 TLS 终端
- 漏洞类型
- 加密协议与信息泄露
- CWE 分类
- CWE-329
- CVE 公开日期
- 2014-10-15
- CVE 记录更新日期
- 2026-05-28
- 资料核验日期
- 2026-09-18
- 区域标签
- 全球（加密协议）
安全风险等级评估
3.4
低危 · CVSS 3.1评分来源：CISA-ADP / CVE 记录
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:L/I:N/A:N
影响范围与修复版本
| 产品或分支 | 受影响范围 | 历史修复边界或说明 |
|---|---|---|
| SSLv3 CBC | 支持并启用该协议/密码模式的终端 | 禁用 SSLv3，迁移受支持 TLS 配置 |
漏洞详情
漏洞机制
SSLv3 的 CBC 填充处理存在协议层面的填充预言机风险。能够影响网络路径的攻击者可通过反复观察处理结果推断部分明文；降级到 SSLv3 会扩大暴露，但风险不限于某一服务器软件。
触发条件与权限边界
需要关注 SSLv3、CBC、网络中间人和请求交互条件。基础评分与实际业务风险应分开：本页采用的 CISA-ADP CVSS 3.1 评分为 3.4（低危），不代表遗留加密协议可以继续安全使用。
场景与影响
攻击者通常需要控制或影响网络路径，并诱导浏览器持续发起请求；漏洞本身不是服务端单点缺陷，而是协议降级与填充机制共同造成的风险。
检测与排查
资产、配置与日志核查
盘点服务器、负载均衡、反向代理与客户端支持的协议，验证 SSLv3 已不可协商；避免仅修改一层代理而遗漏后端或备用入口。
防范措施与修复验证
修复与缓解
在服务器、网关和客户端禁用 SSLv3；禁止协议降级并优先使用 TLS 1.2 及以上；验证所有外部终端和旧设备的协议配置。
修复后的验证
完成变更后，回读 SSLv3 实现及支持 SSLv3 的 TLS 终端 的实际运行版本、补丁与配置，确认已落在厂商修复范围；需要重启的服务或系统必须验证重启结果。再检查相关业务功能、访问控制与日志，记录修复前后证据。临时缓解应单独标注，并跟踪正式修复；没有触发异常不等于漏洞不存在。
参考来源
CVE 官方记录CNA 描述、版本与评分依据产品公告与技术资料marc.info补充公告与技术资料h20566.www2.hpe.comNVD 漏洞条目补充分析与参考链接CISA KEV 目录已知现实利用状态
英文技术描述已整理为中文，保留产品名、协议名和版本号。CVE 记录与 KEV 核验日期：2026-09-18；KEV 目录版本：2026.09.16。厂商公告可能继续更新，处置时应核对最新产品矩阵。
© 版权声明
文章版权归原作者所有，内容仅用于合法合规的学习、研究与安全防护，未经允许请勿转载。
THE END
暂无评论内容