STATUS

   1 NO CVE
   2
   3 https://rt.openssl.org/Ticket/Display.html?id=3339
   4 reported=
   5 public=yes
   6
   7 description=NULL pointer dereference in PKCS7_dataDecode could cause a
   8 crash.  But note this flaw is in an undocumented API with no known use
   9 cases.
  10
  11 patched in git
  12
  13 ------------------------------------------------------------
  14 NO CVE
  15
  16 https://rt.openssl.org/Ticket/Display.html?id=2608
  17 reported=20110923
  18 public=yes
  19
  20 description=A flaw in the base64 decoder which could cause a
  21 negative length to be passed to memcpy.  This will likely cause
  22 a crash if an attacker can cause OpenSSL to parse untrusted
  23 base64 encoded content.
  24
  25 patched in git
  26
  27 ------------------------------------------------------------
  28 CVE-2014-0198
  29
  30 source=http://marc.info/?l=openssl-dev&m=139905714829179&w=2
  31 public=yes
  32
  33 http://bugzilla.redhat.com/show_bug.cgi?id=CVE-2014-0198
  34 https://rt.openssl.org/Ticket/Display.html?user=guest&pass=guest&id=3321
  35
  36 Affects 1.0.0* 1.0.1* (not 0.9.8*)
  37
  38 Only where an app enables SSL_MODE_RELEASE_BUFFERS
  39
  40 patched in git https://github.com/openssl/openssl/commit/3ef477c69f2fd39549123d7b0b869029b46cf989
  41
  42 ------------------------------------------------------------
  43
  44 Ben: So, there's the patch sitting in the internal repo. The reporters
  45 suspect its a non problem because the BUF_mem system allocates enough
  46 spare memory to avoid an overflow, but I have not had time to verify
  47 that.
  48
  49 ------------------------------------------------------------
  50
  51 Ben: And then there's the triple-handshake issue:
  52 https://secure-resumption.com/ - first reported in March, but Apple
  53 have just released a fix, so expect some PR around it.
  54
  55 Probably only an issue for client certs with MITM
  56
  57 ------------------------------------------------------------
  58 NO CVE
  59
  60 reported=20140509 (cloudflare)
  61
  62 primes from RSA keys are left on the heap (which gave heartbleed
  63 a more serious consequence).  Not a vuln, but worthy hardening fix
  64
  65 ------------------------------------------------------------