Amióta felfedezték a Heartbleed sebezhetőséget, a szakma ugrik minden az OpenSSL-sérülékenységre, mivel az OpenSSL-ben feltárt biztonsági hibára visszavezethető kockázatok nagyon kiterjedté váltak – írja a Biztonságportál. A Heartbleed sérülékenység révén ugyanis bárki kiolvashatta a fertőzött rendszerek memóriájának tartalmát az interneten keresztül.

A most kiderített hibát több mással együtt javították is egy a napokban megjelent jelentős frissítéssel. Bár ezek egyike sem jelentenek akkor kockázatot, mint a Heartbleed, érdemes mihamarabb telepíteni a javításokat.

Az egyik sérülékenység az SSL-alapú, titkosított adatforgalom visszafejtését és manipulálását teszi lehetővé. Ehhez azonban a támadónak be kell épülnie a szerver és a kliens közé, ahol a kommunikáció lehallgatásával érheti el a célját, azaz a hiba a tipikus közbeékelődéses (MitM – man-in-the-middle) támadások során juthat szerephez. A problémát az okozza, hogy az OpenSSL a TLS handshake során esetenként nem megfelelően kezeli a CCS (ChangeCipherSpec) üzeneteket, illetve az azokkal kapcsolatos időbeli korlátozásokat. A hiba legfőbb érdekessége, hogy az 1998ban megjelent OpenSSL 0.9.1c verzió óta létezik!

Szakértők szerint ennek a hibának a kockázatai messze elmaradnak a Heartbleedéhez képest, de azért így is jelentős támadási felületet ad. Ivan Ristic, a Qualys biztonsági szakértője szerint az egyik legrosszabb eshetőség, ha egy SSL/TLS által védett VPN kapcsolatot ér támadás. A szekértő egyébként most nem vár akkora frissítési rohamot, mint ami a Heartbleed felfedezését követte.

A CCS-kezelési rendellenesség mellett az OpenSSL fejlesztői további biztonsági réseket is befoltoztak. Ezek többnyire szolgáltatásmegtagadási támadásokat tehetnek lehetővé, de az egyik sebezhetőség akár jogosulatlan távoli kódfuttatáshoz is hozzájárulhat.

A szóban forgó biztonsági hibák az OpenSSL 0.9.8za, az 1.0.0m vagy az 1.0.1h verziójának telepítésével orvosolhatók.

A teljes cikket a Biztonságportál oldalán olvashatják.