Zertifikat Test fehlerhaft

[Eddi]

Hallo,

Nach einem Zertifikat Test habe ich folgende Fehler angezeigt bekommen.Shop 2.0.0.0

This server is vulnerable to the OpenSSL Padding Oracle vulnerability (CVE-2016-2107) and insecure. Grade set to F.

The server does not support Forward Secrecy with the reference browsers.  MORE INFO »
This site works only in browsers with SNI support.

Kann jemand zu den Fehlermeldungen etwas Genaueres sagen?
Lässt sich das Problem in der Shop Software beheben, oder liegt es außerhalb, vieleicht am Zertifikat.

Weiß jemand Rat? Vielen Dank für jede Antwort.
eddi

Linkback: https://www.modified-shop.org/forum/index.php?topic=36939.0

[nicson]

Na kein Bock zu googlen gehabt?
https://security.stackexchange.com/questions/142100/this-server-is-vulnerable-to-the-openssl-padding-oracle-vulnerability-cve-2016
Liegt wohl an deiner openssl Version...
https://www.google.de/search?q=This+server+is+vulnerable+to+the+OpenSSL+Padding+Oracle+vulnerability&rlz=1C1CHBF_deDE700DE700&oq=This+server+is+vulnerable+to+the+OpenSSL+Padding+Oracle+vulnerability&aqs=chrome..69i57&sourceid=chrome&ie=UTF-8

[Eddi]

Hallo icson,

zunächst Danke für Deine Antwort. Schön wäre es gewesen, wenn ich das Problem mit googlen hätte lösen könne. An kein Book lag es aber ganz bestimmt nicht. Bin leider auch nicht so fit, dass ich etwas mit Deinen links anfangen kann.

Gibt es eventuell auch eine Antwort, die man auch mit weniger Kenntnissen verstehen kann.

Mit aller besten Grüßen
eddi

[nicson]

Hi, also "einfache" Lösung scheint es da nicht zu geben, du musst am Server vermutlich das openssl Updaten. Leider weiß ich nicht ob du nen vServer, Server, oder einfach nur Webspace hast.
Wie der Herr schon schrieb:

if you check the OpenSSL Vulnerabilities page (search on page for 2107 to find this CVE), you'll see that it's not fixed until OpenSSL 1.0.2h. 1.0.2g is vulnerable.

solltest du ab Version 1.0.2h das Problem nicht mehr haben.

To upgrade, use the command sudo do-release-upgrade

Ob das nun auf dein System passt, kann ich dir nicht sagen, da fehlen einfach die Infos (OS, SSH Zugriff etc...?) Im Endeffekt ist es aber KEIN modified Problem sondern ein Webserver Problem. Wenn du davon zu wenig Ahnung hast bleibt dir wohl nichts anderes als jemanden damit zu beauftragen
Versuch Mal als Step 1 deine openssl Version rauszufinden.
https://linux.die.net/man/1/version
Dürfte dann per Shell der Befehl

Code: PHP  [Auswählen]

openssl version -v

sein.
Dann weißt du zumindest ob es bei dir DARAN liegt.

[awids]

Na kein Bock zu googlen gehabt?

  Wie oft ich mir diese Frage hier stelle.

[Viol]

Um herauszufinden, welche open ssl Version läuft, hilft es auch, im Backend unter Hilfsprogramme auf Serverinfo zu klicken...

[Eddi]

Hi nicson,

wenn ich Dich richtig verstanden habe, liegt der Fehler außerhalb der Modified Shop Software.

Dies würde einiges erklären. Denn ich hatte zuvor auch Probleme mit dem installierten Zertifikat. Der Shop konnte mit  vielen Brausern nicht mehr aufgerufen werden. Dies funktioniert zwar jetzt wieder, nachdem am Zertifikat eine Änderung gemacht wurde.
Ein erneuter Zertifikat Test zeigte, dass alle gängigen Brauser den Shop nun öffnen können, aber auch die  Eingangs beschriebene Fehlermeldung.

Man oh man!
Eddi

[hbauer]

Hallo Eddi

ohne jemandem zu nahe treten zu wollen. Wenn Dir die bisher genannten Begriffe nichts sagen hast Du noch eine steile Lernkurve vor Dir. Das ist einfach so. Eine einfache cut and paste beschreibung mit 3 Befehlen gibt es da nicht.

Das kann man alles auch rausfinden aber wenn Du zeitnah eine Lösung haben möchtest solltest Du das abgeben.

Gruß
Hagen

[Eddi]

Hallo Hagen,

meine Eingang gestellte Frage, dient dazu den Fehler näher zu lokalisieren. Da ich nun weiß, dass der Fehler außerhalb der Shop Software liegt, kann ich jemand gezielt beauftragen.

Tut mir leid, wenn ich hier jemanden auf den Wecker gefallen bin. War wirklich nicht meine Absicht.

Gruß
eddi

[hbauer]

Hallo Eddi,

kein Thema, es gibt hier nur manchmal Anfragen die fangen genauso harmlos an und dann stellt man schnell fest das der Fragende sich nicht mal die Mühe machen möchte etwas zu verstehen und alles bis ins kleinste geführt bekommen möchte

Anscheinend bist Du nicht so ein Fall.
Gruß
Hagen

[Eddi]

Hallo Hagen,

verstehe, und kann ich auch gut nachvollziehen.

Habe jedenfalls die Fehlersuche weitergegeben. Bin gespannt was dabei raus kommt.

Gruß
eddi

[nicson]

He Eddi mach dir kein Kopf.
Das Forum ist dafür da Fragen zu stellen, manchmal ist nur etwas schwierig zu differenzieren wer zu "faul" ist die Antwort zu suchen oder wer einfach (wie in deinem Fall) zu wenig in der Materie ist um die Antwort überhaupt zu verstehen.

Also wie gesagt alles OK, dafür ist das Forum da

Dir das nun ausführlich zu erklären wäre zu umfangreich, gerade SSL ist da doch ein zu komplexes Thema für den "Einstieg" da du hier u.U. auch die serverseitigen Keys generieren musst und das ist eig. meistens nahezu unmöglich ohne nicht schonmal an einer "shell" gearbeitet zu haben.

[Eddi]

Hallo nicson,

man Du kannst ein wieder aufbauen. Hatte wirklich schon ein ganz schlechtes Gewissen.

Wenn es interessiert, werde ich später die Lösung bekannt geben, falls ich sie in einfachen Worten fassen kann.

Gruß
eddi