NVD Vulnerability Detail
Search Exploit, PoC
CVE-2009-3555
Summary

The TLS protocol, and the SSL protocol 3.0 and possibly earlier, as used in Microsoft Internet Information Services (IIS) 7.0, mod_ssl in the Apache HTTP Server 2.2.14 and earlier, OpenSSL before 0.9.8l, GnuTLS 2.8.5 and earlier, Mozilla Network Security Services (NSS) 3.12.4 and earlier, multiple Cisco products, and other products, does not properly associate renegotiation handshakes with an existing connection, which allows man-in-the-middle attackers to insert data into HTTPS sessions, and possibly other types of sessions protected by TLS or SSL, by sending an unauthenticated request that is processed retroactively by a server in a post-renegotiation context, related to a "plaintext injection" attack, aka the "Project Mogul" issue.

Summary

El protocolo TLS y el protocolo SSL v3.0 y posiblemente versiones anteriores, tal y como se usa en Microsoft Internet Information Services (IIS) v7.0, mod_ssl en el servidor HTTP Apache v2.2.14 y anteriores, OpenSSL antes de v0.9.8l, GnuTLS v2.8.5 y anteriores, Mozilla Network Security Services (NSS) v3.12.4 y anteriores, y otros productos, no asocia apropiadamente la renegociación del Handshake SSL en una conexión existente, lo que permite ataques man-in-the-middle en los que el atacante inserta datos en sesiones HTTPS, y posiblemente otro tipo de sesiones protegidas por SSL o TLS, enviando una petición de autenticación que es procesada retroactivamente por un servidor en un contexto post-renegociación. Se trata de un ataque de "inyección de texto plano", también conocido como el problema del "Proyecto Mogul".

Publication Date Nov. 10, 2009, 2:30 a.m.
Registration Date Jan. 29, 2021, 1:24 p.m.
Last Update April 23, 2026, 9:35 a.m.
CVSS2.0 : MEDIUM
Score 5.8
Vector AV:N/AC:M/Au:N/C:N/I:P/A:P
攻撃元区分(AV) ネットワーク
攻撃条件の複雑さ(AC) 中
攻撃前の認証要否(Au) 不要
機密性への影響(C) なし
完全性への影響(I) 低
可用性への影響(A) 低
Get all privileges. いいえ
Get user privileges いいえ
Get other privileges いいえ
User operation required いいえ
Affected software configurations
Configuration1 or higher or less more than less than
cpe:2.3:a:apache:http_server:*:*:*:*:*:*:*:* 2.2.14
cpe:2.3:a:gnu:gnutls:*:*:*:*:*:*:*:* 2.8.5
cpe:2.3:a:mozilla:nss:*:*:*:*:*:*:*:* 3.12.4
cpe:2.3:a:openssl:openssl:*:*:*:*:*:*:*:* 0.9.8k
cpe:2.3:a:openssl:openssl:1.0:*:openvms:*:*:*:*:*
cpe:2.3:o:canonical:ubuntu_linux:8.04:*:*:*:lts:*:*:*
cpe:2.3:o:canonical:ubuntu_linux:8.10:*:*:*:*:*:*:*
cpe:2.3:o:canonical:ubuntu_linux:9.04:*:*:*:*:*:*:*
cpe:2.3:o:canonical:ubuntu_linux:9.10:*:*:*:*:*:*:*
cpe:2.3:o:canonical:ubuntu_linux:10.04:*:*:*:lts:*:*:*
cpe:2.3:o:canonical:ubuntu_linux:10.10:*:*:*:*:*:*:*
cpe:2.3:o:debian:debian_linux:4.0:*:*:*:*:*:*:*
cpe:2.3:o:debian:debian_linux:5.0:*:*:*:*:*:*:*
cpe:2.3:o:debian:debian_linux:6.0:*:*:*:*:*:*:*
cpe:2.3:o:debian:debian_linux:7.0:*:*:*:*:*:*:*
cpe:2.3:o:debian:debian_linux:8.0:*:*:*:*:*:*:*
cpe:2.3:o:fedoraproject:fedora:11:*:*:*:*:*:*:*
cpe:2.3:o:fedoraproject:fedora:12:*:*:*:*:*:*:*
cpe:2.3:o:fedoraproject:fedora:13:*:*:*:*:*:*:*
cpe:2.3:o:fedoraproject:fedora:14:*:*:*:*:*:*:*
cpe:2.3:a:f5:nginx:*:*:*:*:*:*:*:* 0.1.0 0.8.22
Related information, measures and tools
Common Vulnerabilities List
JVN Vulnerability Information
SSL および TLS プロトコルに脆弱性
Title SSL および TLS プロトコルに脆弱性
Summary

Secure Sockets Layer (SSL) および Transport Layer Security (TLS) プロトコルには、renegotiation 機能に脆弱性が存在します。 Secure Sockets Layer (SSL) および Transport Layer Security (TLS) は、通信の暗号化および認証などの機能を提供するプロトコルです。 SSL および TLS プロトコルには、renegotiation 機能に起因する脆弱性が存在します。

Possible impacts ユーザとサーバの通信を中継可能な第三者が、特定の条件において通信データの先頭に任意のデータを挿入することが可能です。結果として、攻撃者が挿入した HTTP リクエストをサーバに送信されるなどの可能性があります。
Solution

ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。
Publication Date Nov. 12, 2009, midnight
Registration Date Dec. 14, 2009, 12:32 p.m.
Last Update Sept. 8, 2016, 5:10 p.m.
Affected System
サン・マイクロシステムズ
JDK 5.0 Update 25 およびそれ以前
JDK 6 Update 21 およびそれ以前
JRE 1.4.2_27 およびそれ以前
JRE 5.0 Update 25 およびそれ以前
JRE 6 Update 21 およびそれ以前
OpenSolaris (sparc)
OpenSolaris (x86)
SDK 1.4.2_27 およびそれ以前
Sun GlassFish Enterprise Server v2.1.1
Sun Java Enterprise System 2005Q4
Sun Java Enterprise System 5
Sun Java System Application Server 8.0
Sun Java System Application Server 8.1
Sun Java System Application Server 8.2
Sun Java System Web Proxy Server 4.0 - 4.0.12
Sun Java System Web Server 6.1
Sun Java System Web Server 7.0
Sun Solaris 10 (sparc)
Sun Solaris 10 (x86)
Sun Solaris 8 (sparc)
Sun Solaris 8 (x86)
Sun Solaris 9 (sparc)
Sun Solaris 9 (x86)
マイクロソフト
Microsoft Windows 2000 
Microsoft Windows 7 (x32)
Microsoft Windows 7 (x64)
Microsoft Windows Server 2003 
Microsoft Windows Server 2003 (itanium)
Microsoft Windows Server 2003 (x64)
Microsoft Windows Server 2008 (itanium)
Microsoft Windows Server 2008 (x64)
Microsoft Windows Server 2008 (x86)
Microsoft Windows Server 2008 r2(itanium)
Microsoft Windows Server 2008 r2(x64)
Microsoft Windows Vista 
Microsoft Windows Vista (x64)
Microsoft Windows XP (x64)
Microsoft Windows XP sp3
レッドハット
Red Hat Enterprise Linux 3 (as)
Red Hat Enterprise Linux 3 (es)
Red Hat Enterprise Linux 3 (ws)
Red Hat Enterprise Linux 4 (as)
Red Hat Enterprise Linux 4 (es)
Red Hat Enterprise Linux 4 (ws)
Red Hat Enterprise Linux 4.8 (as)
Red Hat Enterprise Linux 4.8 (es)
Red Hat Enterprise Linux 5 (server)
Red Hat Enterprise Linux Desktop 3.0
Red Hat Enterprise Linux Desktop 4.0
Red Hat Enterprise Linux Desktop 5.0 (client)
Red Hat Enterprise Linux Desktop 6
Red Hat Enterprise Linux EUS 5.4.z (server)
Red Hat Enterprise Linux Extras 3 extras
Red Hat Enterprise Linux Extras 4 extras
Red Hat Enterprise Linux Extras 4.7.z extras
Red Hat Enterprise Linux Extras 4.8.z extras
Red Hat Enterprise Linux HPC Node 6
Red Hat Enterprise Linux HPC Node Supplementary 6
Red Hat Enterprise Linux Server 6
Red Hat Enterprise Linux Server Supplementary 6
Red Hat Enterprise Linux Workstation 6
Red Hat Enterprise Linux Workstation Supplementary 6
RHEL Desktop Supplementary 5 (client)
RHEL Desktop Supplementary 6
RHEL Desktop Workstation 5 (client)
RHEL Supplementary 5 (server)
RHEL Supplementary EUS 5.2.z (server)
RHEL Supplementary EUS 5.3.z (server)
RHEL Supplementary EUS 5.4.z (server)
ヒューレット・パッカード
HP Systems Insight Manager 7.0 未満
HP Virtual Connect 8Gb 24ポート ファイバーチャネル モジュール 3.00 未満 (VC (バーチャルコネクト) 4.40 未満)
HP-UX 11.11
HP-UX 11.23
HP-UX 11.31
Apache Software Foundation
Apache HTTP Server 2.2.15 未満
Apache HTTP Server 2.3.6 未満
ProFTPD Project
ProFTPD 1.3.2c 未満
オラクル
OpenSolaris 
Oracle Database Server 10.1.0.5
Oracle Database Server 10.2.0.3
Oracle Database Server 10.2.0.4
Oracle Database Server 10.2.0.5
Oracle Database Server 11.1.0.7
Oracle Database Server 11.2.0.1
Oracle Database Server 11.2.0.2
Oracle Fusion Middleware 10.0 MP2
Oracle Fusion Middleware 10.0.2
Oracle Fusion Middleware 10.1.2.3
Oracle Fusion Middleware 10.1.3.5
Oracle Fusion Middleware 10.1.4.0.1
Oracle Fusion Middleware 10.1.4.3
Oracle Fusion Middleware 10.3.2
Oracle Fusion Middleware 10.3.3
Oracle Fusion Middleware 11.1.1.2.0
Oracle Fusion Middleware 11.1.1.3.0
Oracle Fusion Middleware 7.0 SP7
Oracle Fusion Middleware 8.1 SP6
Oracle Fusion Middleware 8.1.6
Oracle Fusion Middleware 9.0
Oracle Fusion Middleware 9.1
Oracle Fusion Middleware 9.2 MP3
Oracle Fusion Middleware 9.2.3
Oracle Fusion Middleware 9.2.4
Oracle Solaris 10
IBM
IBM DB2 9.1 FP9 未満
IBM DB2 9.5 FP6a 未満
IBM DB2 9.7 FP2 未満
IBM HTTP Server 2.0.47.x
IBM HTTP Server 6.0.2
IBM HTTP Server 6.1
IBM HTTP Server 7.0
IBM SDK, 1.4.2
IBM SDK, 1.5
IBM WebSphere Application Server 6.0.2
IBM WebSphere Application Server 6.1
IBM WebSphere Application Server 7.0
OpenSSL Project
OpenSSL 0.9.8l 未満
サイベース
SAP Sybase Adaptive Server Enterprise 
Mozilla Foundation
Mozilla Firefox 3.5.9 未満
Mozilla Firefox 3.6.2 未満
Mozilla SeaMonkey 2.0.4 未満
Mozilla Thunderbird 3.0.4 未満
ターボリナックス
Turbolinux Appliance Server 2.0
Turbolinux Appliance Server 3.0
Turbolinux Appliance Server 3.0 (x64)
Turbolinux Client 2008
Turbolinux FUJI (延長メンテナンス)
Turbolinux Server 10 (延長メンテナンス)
Turbolinux Server 10 (x64) (延長メンテナンス)
Turbolinux Server 11
Turbolinux Server 11 (x64)
サイバートラスト株式会社
Asianux Server 4.0
Asianux Server 4.0 (x86-64)
Asianux Server 3 (x86)
Asianux Server 3 (x86-64)
Asianux Server 3.0
Asianux Server 3.0 (x86-64)
アップル
Apple Mac OS X v10.5.8
Apple Mac OS X v10.6.2
Apple Mac OS X v10.6.3
Apple Mac OS X Server v10.5.8
Apple Mac OS X Server v10.6.2
Apple Mac OS X Server v10.6.3
日本電気
CSVIEW 
WebSAM AssetSuite 
日立
Cosminexus Application Server Enterprise Version 6
Cosminexus Application Server Standard Version 6
Cosminexus Application Server Version 5
Cosminexus Client Version 6
Cosminexus Developer Light Version 6
Cosminexus Developer Professional Version 6
Cosminexus Developer Standard Version 6
Cosminexus Developer Version 5
Cosminexus Developer's Kit for Java(TM) 
Cosminexus Server - Standard Edition Version 4
Cosminexus Server - Web Edition Version 4
Cosminexus Studio - Standard Edition Version 4
Cosminexus Studio - Web Edition Version 4
Cosminexus Studio Version 5
Hitachi Developer's Kit for Java 
Hitachi Web Server 
Hitachi Web Server - Security Enhancement
Processing Kit for XML 
uCosminexus Application Server Enterprise
uCosminexus Application Server Standard
uCosminexus Client 
uCosminexus Developer Light
uCosminexus Developer Professional
uCosminexus Developer Standard
uCosminexus Operator 
uCosminexus Portal Framework エントリセット
uCosminexus Service Architect
uCosminexus Service Platform
OpenOffice.org Project
OpenOffice.org 2.x
OpenOffice.org 3.2.1 未満
VMware
VMware ESX 3.0.3
VMware ESX 3.5
VMware ESX 4.0
VMware ESX 4.1
VMware vCenter 4.0
VMware vCenter 4.1
VMware VirtualCenter 2.5
VMware vSphere Update Manager 1.0
VMware vSphere Update Manager 4.0
VMware vSphere Update Manager 4.1
ブルーコートシステムズ
Blue Coat Director 
Blue Coat IntelligenceCenter 
Blue Coat PacketShaper 
Blue Coat ProxyAV 
Blue Coat ProxyClient 
Blue Coat Reporter 
ProxySG 
SGOS 4
SGOS 5
SGOS 6
ヒューレット・パッカード・エンタープライズ
HPE Matrix Operating Environment 
HPE Systems Insight Manager 
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
ベンダー情報
その他
Change Log
No Changed Details Date of change
0 [2009年12月14日]
  掲載
[2010年01月20日]
  影響を受けるシステム：アップル (HT4004) の情報を追加
  影響を受けるシステム：サン・マイクロシステムズ (274990) の情報を追加
  ベンダ情報：IBM (7007033) を追加
  ベンダ情報：IBM (7006876) を追加
  ベンダ情報：IBM (4909) を追加
  ベンダ情報：IBM (7007951) を追加
  ベンダ情報：IBM (7008517) を追加
  ベンダ情報：アップル (HT4004) を追加
  ベンダ情報：サン・マイクロシステムズ (274990) を追加
  ベンダ情報：シスコシステムズ (cisco-sa-20091109-tls) を追加
  ベンダ情報：ヒューレット・パッカード (HPSBUX02498) を追加
[2010年02月18日]
  影響を受けるシステム：IBM (4025718) の情報を追加
  影響を受けるシステム：IBM (4025719) の情報を追加
  影響を受けるシステム：IBM (4025742) の情報を追加
  影響を受けるシステム：IBM (4025746) の情報を追加
  影響を受けるシステム：IBM (1413714) の情報を追加
  影響を受けるシステム：マイクロソフト (977377) の情報を追加
  ベンダ情報：IBM (4025718) を追加
  ベンダ情報：IBM (4025719) を追加
  ベンダ情報：IBM (4025742) を追加
  ベンダ情報：IBM (4025746) を追加
  ベンダ情報：IBM (1413714) を追加
  ベンダ情報：マイクロソフト (977377) を追加
[2010年03月08日]
  影響を受けるシステム：ブルーコートシステムズ (SA44) の情報を追加
  影響を受けるシステム：レッドハット (RHSA-2010:0130) の情報を追加
  ベンダ情報：ブルーコートシステムズ (SA44) を追加
  ベンダ情報：レッドハット (RHSA-2010:0130) を追加
[2010年03月17日]
  影響を受けるシステム：Apache Software Foundation (Changes with Apache 2.2.15) の情報を追加
  ベンダ情報：Apache Software Foundation (Changes with Apache 2.2.15) を追加
[2010年03月29日]
  影響を受けるシステム：レッドハット (RHSA-2010:0155) の情報を追加
  ベンダ情報：レッドハット (RHSA-2010:0155) を追加
  ベンダ情報：レッドハット (RHSA-2010:0162) を追加
  ベンダ情報：レッドハット (RHSA-2010:0163) を追加
  ベンダ情報：レッドハット (RHSA-2010:0164) を追加
  ベンダ情報：レッドハット (RHSA-2010:0165) を追加
  ベンダ情報：レッドハット (RHSA-2010:0166) を追加
  ベンダ情報：レッドハット (RHSA-2010:0167) を追加
[2010年04月27日]
  影響を受けるシステム：IBM (PM10658) の情報を追加
  影響を受けるシステム：IBM (7014463) の情報を追加
  影響を受けるシステム：IBM (1426108) の情報を追加
  影響を受けるシステム：Mozilla Foundation (MFSA 2010-22) の情報を追加
  影響を受けるシステム：オラクル (javacpumar2010) の情報を追加
  影響を受けるシステム：レッドハット (RHSA-2010:0338) の情報を追加
  ベンダ情報：IBM (PM10658) を追加
  ベンダ情報：IBM (7014463) を追加
  ベンダ情報：IBM (1426108) を追加
  ベンダ情報：Mozilla Foundation (MFSA 2010-22) を追加
  ベンダ情報：オラクル (javacpumar2010) を追加
  ベンダ情報：ヒューレット・パッカード (HPSBUX02517) を追加
  ベンダ情報：ミラクル・リナックス (openssl097a-0.9.7a-9.AXS3.2) を追加
  ベンダ情報：ミラクル・リナックス (nss-3.12.6-1.AXS3 and nspr-4.8.4-1.AXS3) を追加
  ベンダ情報：ミラクル・リナックス (gnutls-1.4.1-3.8.0.1.AXS3) を追加
  ベンダ情報：ミラクル・リナックス (openssl-0.9.8e-12.AXS3.6) を追加
  ベンダ情報：ミラクル・リナックス (jdk-1.6.0_19) を追加
  ベンダ情報：ミラクル・リナックス (2043) を追加
  ベンダ情報：ミラクル・リナックス (2046) を追加
  ベンダ情報：ミラクル・リナックス (2047) を追加
  ベンダ情報：ミラクル・リナックス (2048) を追加
  ベンダ情報：レッドハット (RHSA-2010:0337) を追加
  ベンダ情報：レッドハット (RHSA-2010:0338) を追加
  ベンダ情報：レッドハット (RHSA-2010:0339) を追加
[2010年06月04日]
  影響を受けるシステム：IBM (1412438) の情報を追加
  影響を受けるシステム：IBM (1432298) の情報を追加
  影響を受けるシステム：アップル (HT4171) の情報を追加
  影響を受けるシステム：日立 (HS10-010) の情報を追加
  ベンダ情報：IBM (1412438) を追加
  ベンダ情報：IBM (1432298) を追加
  ベンダ情報：アップル (HT4170) を追加
  ベンダ情報：アップル (HT4171) を追加
  ベンダ情報：ヒューレット・パッカード (HPSBUX02524) を追加
  ベンダ情報：日立 (HS10-010) を追加
[2010年06月17日]
  影響を受けるシステム：OpenOffice.org (CVE-2009-3555) の情報を追加
  ベンダ情報：OpenOffice.org (CVE-2009-3555) を追加
[2010年07月12日]
  影響を受けるシステム：Apache Software Foundation (Changes with Apache 2.3.6) の情報を追加
  ベンダ情報：Apache Software Foundation (Changes with Apache 2.3.6) を追加
  ベンダ情報：ターボリナックス (TLSA-2010-20) を追加
[2010年07月22日]
  影響を受けるシステム：オラクル (cpujul2010) の情報を追加
  ベンダ情報：オラクル (cpujul2010) を追加
  ベンダ情報：オラクル (100716_91) を追加
[2010年08月24日]
  影響を受けるシステム：IBM (IC68054) の情報を追加
  ベンダ情報：IBM (IC68054) を追加
  ベンダ情報：マイクロソフト (MS10-049) を追加
[2010年09月10日]
  影響を受けるシステム：IBM (1293566) の情報を追加
  影響を受けるシステム：IBM (1426108) の情報を追加
[2010年10月21日]
  影響を受けるシステム：IBM (1293566) の情報を追加
  影響を受けるシステム：IBM (1444772) の情報を追加
  影響を受けるシステム：オラクル (javacpuoct2010-176258) の情報を追加
  影響を受けるシステム：オラクル (multiple_vulnerabilities_in_the_apache) の情報を追加
  影響を受けるシステム：ブルーコートシステムズ (SA44) の情報を追加
  ベンダ情報：IBM (1293566) を追加
  ベンダ情報：IBM (1444772) を追加
  ベンダ情報：アップル (HT4417) を追加
  ベンダ情報：アップル (HT4418) を追加
  ベンダ情報：オラクル (javacpuoct2010-176258) を追加
  ベンダ情報：オラクル (multiple_vulnerabilities_in_the_apache) を追加
  ベンダ情報：レッドハット (RHSA-2010:0768) を追加
  ベンダ情報：レッドハット (RHSA-2010:0770) を追加
  ベンダ情報：レッドハット (RHSA-2010:0786) を追加
[2010年11月11日]
  ベンダ情報：ミラクル・リナックス (jdk-1.6.0_22) を追加
  ベンダ情報：レッドハット (RHSA-2010:0807) を追加
[2010年12月07日]
  影響を受けるシステム：レッドハット (RHSA-2010:0865) の情報を追加
  ベンダ情報：レッドハット (RHSA-2010:0865) を追加
[2010年12月16日]
  影響を受けるシステム：VMware (VMSA-2010-0019) の情報を追加
  影響を受けるシステム：サイベース (609365) の情報を追加
  影響を受けるシステム：ターボリナックス (TLSA-2010-42) の情報を追加
  影響を受けるシステム：日立 (HS10-030) の情報を追加
  ベンダ情報：VMware (VMSA-2010-0019) を追加
  ベンダ情報：サイベース (609365) を追加
  ベンダ情報：ターボリナックス (TLSA-2010-42) を追加
  ベンダ情報：ヒューレット・パッカード (HPSBUX02608) を追加
  ベンダ情報：日立 (HS10-030) を追加
[2011年01月05日]
  影響を受けるシステム：レッドハット (RHSA-2010:0987) の情報を追加
  影響を受けるシステム：日本電気 (NV10-008) の情報を追加
  ベンダ情報：レッドハット (RHSA-2010:0987) を追加
  ベンダ情報：日本電気 (NV10-008) を追加
[2011年02月18日]
  影響を受けるシステム：ブルーコートシステムズ (SA44) の情報を追加
[2011年02月28日]
  影響を受けるシステム：VMware (VMSA-2011-0003) の情報を追加
  ベンダ情報：VMware (VMSA-2011-0003) を追加
[2011年05月10日]
  影響を受けるシステム：オラクル (cpuapr2011-301950) の情報を追加
  影響を受けるシステム：オラクル (Multiple Vulnerabilities in the Apache 2 HTTP Server Prior to 2.2.16) の情報を追加
  ベンダ情報：オラクル (cpuapr2011-301950) を追加
  ベンダ情報：オラクル (Multiple Vulnerabilities in the Apache 2 HTTP Server Prior to 2.2.16) を追加
[2013年03月14日]
  影響を受けるシステム：ヒューレット・パッカード (HPSBMU02769 SSRT100846) の情報を追加
  ベンダ情報：ヒューレット・パッカード (HPSBMU02769 SSRT100846) を追加
[2014年05月21日]
  影響を受けるシステム：日立 (HS11-006) の情報を追加
  ベンダ情報：日立 (HS11-006) を追加
[2015年06月26日]
  影響を受けるシステム：ベンダ情報の追加に伴い内容を更新
  ベンダ情報：ヒューレット・パッカード (HPSBHF03293) を追加
[2016年09月08日]
  影響を受けるシステム：ベンダ情報の追加に伴い内容を更新
  ベンダ情報：ヒューレット・パッカード・エンタープライズ (HPSBMU03611) を追加		 Feb. 17, 2018, 10:37 a.m.