A tegnapi napon egy, már több éve létező sérülékenységet fedeztek fel az OpenSSL kriptográfiai csomagban. Ez az összetevő megtalálható a legtöbb Linux disztribúcióban, és számos más hálózati szolgáltatás is használja. A sérülékenység kihasználásával a támadó az OpenSSL-t használó rendszer memóriájához hozzáférhet, és abból 64 KB-os darabokban szenzitív információkat (akár privát kulcsokat) szerezhet meg.
Érintett verziók:
OpenSSL 1.0.1f és 1.0.2-beta1, valamint az ennél régebbi verziók
Javaslat:
- Az OpenSSL mielőbbi frissítése 1.0.1g verzióra, valamint tanúsítvány és kulcscsere az érintett rendszereken.
- Amennyiben saját fordítású OpenSSL-t használ, úgy újrafordítás a következő paraméterrel: -DOPENSSL_NO_HEARTBEATS
"Hasonló esetek megelőzésére javasoljuk továbbá, hogy privát kulcsait HSM-ben tárolja, mert a fenti módszerrel azok nem szerezhetők meg, továbbra is védettek maradnak" - mondta el Kovács Tamás, a Noreg műszaki igazgatója.
Részletesebb információ: https://www.openssl.org/news/secadv_20140407.txt