[公开漏洞]知乎证书吊销失误导致保护失败

知乎证书吊销失误导致保护失败 相关厂商： 知乎 漏洞作者：BilinearPairing 提交时间：2014-04-26 23:32 公开时间：2014-06-10 23:33 漏洞类型：系统/服务运维配置不当 危害等级：中 自评Rank：7 漏洞状态： 厂商已经确认 漏洞来源：http://www.wooyun.org Tags标签： 无 漏洞详情 披露状态：

2014-04-26：细节已通知厂商并且等待厂商处理中
2014-04-28：厂商已经确认，细节仅向厂商公开
2014-05-08：细节向核心白帽子及相关领域专家公开
2014-05-18：细节向普通白帽子公开
2014-05-28：细节向实习白帽子公开
2014-06-10：细节向公众公开

简要描述：

Heartbleed以后知乎吊销了API的https证书，不过似乎吊销的姿势不对。

详细说明：

旧证书是吊销了，不过RSA密钥没重新生成是要闹哪样？等于什么都没做，白烧了一个新wildcard证书的钱。。。

漏洞证明：

旧证书：

新证书：

CRL：(http://gtssl2-crl.geotrust.com/gtssl2.crl)

旧证书（序列号22 ef 5c）在4月15日被吊销，不过新旧证书的RSA公钥是一模一样的。

修复方案：

下次吊销记得先 openssl genrsa -out server.key 2048

版权声明：转载请注明来源 BilinearPairing@乌云 漏洞回应 厂商回应：

危害等级：中

漏洞Rank：10

确认时间：2014-04-28 14:17

厂商回复：

多谢反馈，我们会立刻处理。

最新状态：

暂无