The SSLv2 protocol is supported in

The SSLv2 protocol is supported in OpenSSL by default
in all versions under 1.1.0. OpenSSL removed SSLv2
cipher suites from the default cipher string in 2010 be
tween versions 0.9.8n and 1.0.0; the changelog discusses
this as being equivalent to disabling support for SSLv2
by default [38]. Unfortunately, during our experiments
we discovered that OpenSSL servers do not respect the
cipher suites advertised in the ServerHello message.
That is, the client can select an arbitrary cipher suite in
the ClientMasterKey message and force the use of ex
port cipher suites even if they are explicitly disabled in the
server configuration. The SSLv2 protocol itself was still
enabled by default in the OpenSSL standalone server for
the most recent OpenSSL versions prior to our disclosure.
We notified the OpenSSL team of this vulnerabil
ity, which was assigned CVE ID CVE-2015-3197. We
have cooperated to develop a fix, which was included in
OpenSSL releases 1.0.2f and 1.0.1r [38].

Results (Vietnamese) 1:

Giao thức SSLv2 được hỗ trợ trong OpenSSL theo mặc địnhở tất cả phiên bản 1.1.0 nhỏ hơn. OpenSSL gỡ bỏ SSLv2mật mã Suite từ chuỗi mã hóa mặc định vào năm 2010Phiên bản tween 0.9.8n và 1.0.0; thảo luận về các thay đổiĐiều này là tương đương để vô hiệu hóa hỗ trợ cho SSLv2Theo mặc định [38]. Thật không may, trong thời gian thử nghiệm của chúng tôichúng tôi phát hiện ra rằng các máy chủ OpenSSL không tôn trọng cácmật mã Suite được quảng cáo trong thư ServerHello.Đó là, các khách hàng có thể lựa chọn một mật mã tùy ý ởClientMasterKey thông điệp và ép buộc việc sử dụng các ví dụPort mật mã Suite, ngay cả khi họ bị vô hiệu hoá một cách rõ ràng trong cáccấu hình máy chủ. Giao thức SSLv2 chính nó đã vẫn cònkích hoạt mặc định trong OpenSSL standalone server cho cácPhiên bản OpenSSL đặt trước khi chúng tôi tiết lộ.Chúng tôi thông báo nhóm OpenSSL này vulnerabilAnh được chỉ định CVE ID CVE-2015-3197. Chúng tôiđã hợp tác để phát triển một sửa chữa, được bao gồm trongOpenSSL chí 1.0.2f và 1.0.1r [38].

Results (Vietnamese) 2:

Các giao thức SSLv2 được hỗ trợ trong OpenSSL theo mặc định
trong tất cả các phiên bản dưới 1.1.0. OpenSSL bỏ SSLv2
bộ mã hoá từ chuỗi mật mã mặc định trong năm 2010 là
phiên bản tween 0.9.8n và 1.0.0; các thay đổi thảo luận
này là tương đương với việc vô hiệu hóa hỗ trợ cho SSLv2
theo mặc định [38]. Thật không may, trong quá trình thí nghiệm của chúng tôi
, chúng tôi phát hiện ra rằng các máy chủ OpenSSL không tôn trọng các
bộ mã hoá được quảng cáo trong tin nhắn ServerHello.
Đó là, khách hàng có thể chọn một bộ mật mã tùy ý trong
thông điệp ClientMasterKey và buộc việc sử dụng các cựu
dãy cổng mật mã ngay cả khi họ vô hiệu hóa một cách rõ ràng trong các
cấu hình máy chủ. Các giao thức SSLv2 tự vẫn
được kích hoạt theo mặc định trong máy chủ độc OpenSSL cho
các phiên bản gần đây nhất OpenSSL trước khi tiết lộ của chúng tôi.
Chúng tôi đã thông báo cho đội OpenSSL của vulnerabil này
ity, được giao CVE ID CVE-2015-3197. Chúng tôi
đã hợp tác để phát triển một sửa chữa, được bao gồm trong
OpenSSL phát hành 1.0.2f và 1.0.1r [38].