На сайте openssl.org опубликована информация о новых проблемах безопасности в OpenSSL, некоторые из них могут использоваться для получения передаваемых данных.
SSL/TLS уязвимость MITM (man in the middle) (CVE-2014-0224)
Используя специально сформированный пакет handshake (отправляемый при установке соединения), злоумышленник может вынудить клиент и сервер создать слабые ключи. Данная уязвимость позволяет расшифровывать и подменять данные, реализуя атаку man-in-the-middle. Данная атака осуществима только в случае работы с уязвимыми клиентом и сервером.
Уязвимы серверные реализации OpenSSL 1.0.1 и 1.0.2-beta1, клиентские 0.9.8, 1.0.0, 1.0.1. Рекомендуется обновить ПО.
DTLS уязвимость, связанная с рекурсией (CVE-2014-0221)
Узвимость в реализации протокола датаграмм безопасности транспортного уровня, работающего поверх UDP, позволяет вызвать падение OpenSSL клиента в результате ухода в рекурсию. Может использоваться для выполнения DoS атаки.
Пользователям OpenSSL 0.9.8 DTLS необходимо обновиться до версии 0.9.8za Пользователям OpenSSL 1.0.0 DTLS необходимо обновиться до версии 1.0.0m. Пользователям OpenSSL 1.0.1 DTLS необходимо обновиться до версии 1.0.1h.
DTLS проблема с ошибочными фрагментами (CVE-2014-0195)
Отправка неверных фрагментов DTLS может привести к ошибке переполнения буфера. Потенциально может привести к исполнению произвольного кода.
Уязвимость касается как клиента, так и сервера, рекомендации по обновлению такие же, как и в предыдущем пункте.
Удаленный злоумышленник может вызвать отказ в обслуживании, за счет разыменования нулевого указателя в функции do_ssl3_write_function. Уязвимость затрагивает OpenSSL 1.0.0 и 1.0.1, в которых включена опция SSL_MODE_RELEASE_BUFFERS, что бывает редко.
Также в этом случае из-за ошибки в функции ssl3_read_bytes, злоумышленник может вставить свои данные в иные сессии или вызвать отказ в обслуживании. (CVE-2010-5298)
Пользователям OpenSSL 1.0.0 необходимо обновиться до версии 1.0.0m. Пользователям OpenSSL 1.0.1 необходимо обновиться до версии 1.0.1h.
DoS в анонимном ECDH (CVE-2014-3470) OpenSSL TLS в режиме анонимного ECDH подвержен уязвимости типа отказ в обслуживании.
Пользователям OpenSSL 0.9.8 DTLS необходимо обновиться до версии 0.9.8za Пользователям OpenSSL 1.0.0 DTLS необходимо обновиться до версии 1.0.0m. Пользователям OpenSSL 1.0.1 DTLS необходимо обновиться до версии 1.0.1h.
OpenSSL это свободная реализация протоколов TLS и SSL, повсеместно используемая в открытом ПО. Недавние сообщения об уязвимости heartbleed вызвали волну обсуждения надежности данной библиотеки.
−4
