TLS Ticketbleed漏洞检测

Ticketbleed 针对的产品与配置

CVE-2016-9244（Ticketbleed）描述的是特定 F5 BIG-IP 虚拟服务器配置风险：当 Client SSL 配置启用了非默认的 Session Tickets 选项时，远程攻击者可能使服务泄露最多 31 字节未初始化内存，其中可能包含其他会话的 SSL 会话标识或其他内存数据。该漏洞描述针对 BIG-IP 条件，不应泛化成所有 TLS 服务或 OpenSSL 版本漏洞。

专项检测结果的用途

本页围绕 Ticketbleed 做一次面向主机的 TLS 检查。结果区会显示检测状态和发现说明，并在返回时列出 CVE、CWE 等信息及其他检测项。它帮助运维人员把一个具体漏洞信号纳入排查记录；状态应结合目标设备类型和厂商公告解释。

RFC 5077 描述的一种 TLS 会话恢复方式会把会话状态封装进票据，由客户端随后带回以请求恢复会话。会话票据机制本身不是漏洞；Ticketbleed 指特定产品配置处理这类票据时可能发生的信息泄露。

对目标主机发起一次专项检查

1. 填写主机名

   输入需要检查的域名或主机名，并确认它指向你负责维护或获准测试的服务。

2. 启动检测

   点击检测按钮，等待目标主机的专项检查结果返回。请求完成前不要重复提交。

3. 查看并记录发现

   查看状态、发现说明以及报告返回的漏洞编号；如还显示其他检测项，可按目标服务配置分别记录。

一次提交针对一个主机名。若负责的服务有多个不同子域名入口，应分别按实际主机名检查并独立记录结果；对某个主机名的检查不能代表其他入口的服务配置。

整理复核记录时，可自行记下目标主机、检查日期和当时的配置变更范围。这样后续再次检查时，便于区分不同时间的结果并追溯对应的服务入口。

需要转交排查人员时，可用结果字段旁的复制按钮复制发现文字和漏洞编号，并同时记下目标主机名，便于在资产清单中定位相同服务入口。若前后有配置变更，分别保留每次检查记录与日期，避免把旧结果套用到新配置。

扫描范围、端口与授权

当前页面虽显示端口输入栏，但发起扫描时没有把该栏的值传入实际检测请求。因此不要依赖它判断非默认端口是否完成检查；若服务仅在其他端口开放，本页结果不能证明该服务已被覆盖。

单项检测通过只代表本次检查未返回 Ticketbleed 发现，不等于目标没有其他 TLS 或系统漏洞，也不是完整安全审计。域名可能指向不同服务节点，配置和暴露情况也会变化；重要结论应结合设备清单、适用的厂商公告和后续人工复核。只对你拥有或明确获准测试的主机发起检测。

若结果出现 Ticketbleed 发现，应由维护人员确认实际服务是否属于 CVE 记录描述的产品和配置条件，再依据当前适用的厂商公告核对处置方式。这里不提供某一版本的修复号，因为不同产品版本和支持状态需要按厂商资料确认。配置调整、流量切换或域名指向变化后，先前结果不应自动视为新配置的验证结果。