CVE-2014-0224

HIGH 7.4

At a glance

Source: NVD
EPSS: EPSS 95.33 % · percentile 100 (2026-10-29)
State: PUBLISHED
Published: 2014-06-05 21:00 UTC
Updated: 2024-08-06 09:05 UTC
Assigner: redhat
NVD status: Modified

Search on…

Description

OpenSSL before 0.9.8za, 1.0.0 before 1.0.0m, and 1.0.1 before 1.0.1h does not properly restrict processing of ChangeCipherSpec messages, which allows man-in-the-middle attackers to trigger use of a zero-length master key in certain OpenSSL-to-OpenSSL communications, and consequently hijack sessions or obtain sensitive information, via a crafted TLS handshake, aka the "CCS Injection" vulnerability.

Weaknesses (CWE)

CWE-326 — Inadequate Encryption Strength

References

Scores

Version	Score	Vector	Scored by
CVSS 3.1	HIGH 7.4	CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N	NVD · nvd@nist.gov (Primary)
CVSS 2.0	MEDIUM 5.8	AV:N/AC:M/Au:N/C:P/I:P/A:N	NVD · nvd@nist.gov (Primary)

European references

ENISA EUVD · EUVD-2014-0267
GCVE · GCVE-0-2014-0224

CERT-FR advisories

CERTFR-2016-AVI-300 — Multiples vulnérabilités dans les produits Juniper · cert.ssi.gouv.fr
CERTFR-2015-AVI-072 — Multiples vulnérabilités dans les produits IBM · cert.ssi.gouv.fr
CERTFR-2015-AVI-030 — Multiples vulnérabilités dans Oracle Sun Systems Products Suite · cert.ssi.gouv.fr
CERTFR-2014-AVI-513 — Multiples vulnérabilités dans les produits IBM · cert.ssi.gouv.fr
CERTFR-2014-AVI-480 — Multiples vulnérabilités dans les produits Juniper · cert.ssi.gouv.fr
CERTFR-2014-AVI-425 — Multiples vulnérabilités dans la suite de produits Sun de Oracle · cert.ssi.gouv.fr
CERTFR-2014-AVI-393 — Multiples vulnérabilités dans les produits Apple · cert.ssi.gouv.fr
CERTFR-2014-AVI-362 — Multiples vulnérabilités dans EMC Documentum · cert.ssi.gouv.fr
CERTFR-2014-AVI-357 — Multiples vulnérabilités dans les produits Juniper · cert.ssi.gouv.fr
CERTFR-2014-AVI-322 — Multiples vulnérabilités dans Oracle Linux and Virtualization · cert.ssi.gouv.fr
CERTFR-2014-AVI-314 — Multiples vulnérabilités dans Oracle E-Business Suite · cert.ssi.gouv.fr
CERTFR-2014-AVI-290 — Multiples vulnérabilités dans les produits Huawei · cert.ssi.gouv.fr
CERTFR-2014-AVI-286 — Multiples vulnérabilités dans Solaris · cert.ssi.gouv.fr
CERTFR-2014-AVI-279 — Multiples vulnérabilités dans Juniper Junos OS · cert.ssi.gouv.fr
CERTFR-2014-AVI-274 — Multiples vulnérabilités dans les produits VMware · cert.ssi.gouv.fr
CERTFR-2014-AVI-260 — Multiples vulnérabilités dans Blue Coat · cert.ssi.gouv.fr
CERTFR-2014-AVI-255 — Multiples vulnérabilités dans les produits Juniper · cert.ssi.gouv.fr
CERTFR-2014-AVI-254 — Multiples vulnérabilités dans les produits Cisco · cert.ssi.gouv.fr
CERTFR-2014-AVI-253 — Multiples vulnérabilités dans OpenSSL · cert.ssi.gouv.fr

Affected configurations (NVD CPE)

cpe:2.3:a:openssl:openssl:*:*:*:*:*:*:*:* < 0.9.8za
cpe:2.3:a:openssl:openssl:*:*:*:*:*:*:*:* ≥ 1.0.0 < 1.0.0m
cpe:2.3:a:openssl:openssl:*:*:*:*:*:*:*:* ≥ 1.0.1 < 1.0.1h
cpe:2.3:a:redhat:jboss_enterprise_application_platform:5.2.0:*:*:*:*:*:*:*
cpe:2.3:a:redhat:jboss_enterprise_application_platform:6.2.3:*:*:*:*:*:*:*
cpe:2.3:a:redhat:jboss_enterprise_web_platform:5.2.0:*:*:*:*:*:*:*
cpe:2.3:a:redhat:jboss_enterprise_web_server:2.0.1:*:*:*:*:*:*:*
cpe:2.3:a:redhat:storage:2.1:*:*:*:*:*:*:*
cpe:2.3:o:fedoraproject:fedora:19:*:*:*:*:*:*:*
cpe:2.3:o:fedoraproject:fedora:20:*:*:*:*:*:*:*
cpe:2.3:o:opensuse:opensuse:13.1:*:*:*:*:*:*:*
cpe:2.3:o:opensuse:opensuse:13.2:*:*:*:*:*:*:*
cpe:2.3:o:redhat:enterprise_linux:4:*:*:*:*:*:*:*
cpe:2.3:o:redhat:enterprise_linux:5:*:*:*:*:*:*:*
cpe:2.3:o:redhat:enterprise_linux:6.0:*:*:*:*:*:*:*
cpe:2.3:a:filezilla-project:filezilla_server:*:*:*:*:*:*:*:* < 0.9.45
cpe:2.3:o:siemens:application_processing_engine_firmware:*:*:*:*:*:*:*:* < 2.0.2
cpe:2.3:o:siemens:cp1543-1_firmware:*:*:*:*:*:*:*:* < 1.1.25
cpe:2.3:o:siemens:s7-1500_firmware:*:*:*:*:*:*:*:* < 1.6
cpe:2.3:o:siemens:rox_firmware:*:*:*:*:*:*:*:* < 1.16.1
cpe:2.3:a:mariadb:mariadb:*:*:*:*:*:*:*:* ≥ 10.0.0 < 10.0.13
cpe:2.3:a:python:python:*:*:*:*:*:*:*:* ≥ 2.7.0 < 2.7.8
cpe:2.3:a:python:python:*:*:*:*:*:*:*:* ≥ 3.4.0 < 3.4.2
cpe:2.3:a:nodejs:node.js:*:*:*:*:*:*:*:* < 0.10.29

Affected products

Product	Versions
	affected n/a

Sources

Source	Licence
CVE List (CVEProject cvelistV5)	CVE Program Terms of Use
EPSS (FIRST.org)	FIRST — attribution requested
ENISA EUVD	ENISA — reproduction authorised, source acknowledged
CERT-FR (ANSSI)	Licence Ouverte / Etalab 2.0
NVD (NIST) via fkie-cad/nvd-json-data-feeds	Public domain — this product uses data from the NVD API but is not endorsed or certified by the NVD

⚠️ CVE-2014-0224