Sårbarheter i OpenSSL-biblioteket

Open SSL är en öppen källkod-implementering av SSL- (Secure Sockets Layer), TLS- (Transport Layer Security) and DTLS- (Datagram Transport Layer Security) protokollen samt ett krypteringsbibliotek. Open SSL används till exempel för att implementera https på webbservrar samt för att kryptera e-postkommunikation mellan en kunddator och server. Det har hittats 7 sårbarheter i OpenSSL-biblioteket.

Den mest allvarliga sårbarheten (CVE-2014-0224) kan möjliggöra en man-i-mitten-attack. Sårbarheten hänför sig till bearbetning av bibliotekets Change Cipher Spec-protokollmeddelanden. Om ett sådant meddelande förmedlas mellan en sårbar kund och sårbar server innan nyckelmaterialet bytts ut, krypteras förbindelsen med nyckelmaterial som är lätt att gissa. Angriparen, i egenskap av man-i-mitten, kan läsa och bearbeta innehållet i krypterade meddelanden. En förutsättning för en lyckad attack är att angriparen kan avlyssna nättrafiken för målet och bearbeta den. För exekvering av en man-i-mitten-attack måste angriparen alltså ha tillträde till det lokalnät eller trådlösa nät som offrets dator är ansluten till.

Två sårbarheter (CVE-2014-0221 och CVE-2014-0195) hänför sig till bearbetning av DTLS-protokollmeddelanden. I den första sårbarheten kan ett handskakningspaket som bearbetats på ett visst sätt förorsaka ett blockeringstillstånd för DTLS-klienten. I den andra sårbarheten kan angriparen exekvera önskad programkod i målsystemet genom att skicka ett DTLS-fragment som bearbetats på ett visst sätt.

Två sårbarheter (CVE-2014-0198 och CVE-2010-5298) hänför sig till program som använt parametern SSL_MODE_RELEASE_BUFFERS som inte är standardinställning för rekursiva DNS. Med hjälp av sårbarheterna kan angriparen förorsaka ett blockeringstillstånd i målet eller injicera data från en krypterad session till en annan.

En sårbarhet (CVE-2014-3470) hänför sig till SSL/TLS-kunder som använder anonyma ECDH (Elliptic curve Diffie-Hellman)-krypteringsmetoder. Med hjälp av sårbarheten kan angriparen förorsaka ett blockeringstillstånd i målsystemet.

Uppdatering till sårbarheten CVE-2014-0076 fixar en s.k. FLUSH+RELOAD-sidokanalsårbarhet i OpenSSL-serier 1.0.0 och 0.9.8.

  • Servrar och serverapplikationer
  • Arbetsstationer och slutanvändarapplikationer
  • Nätverksutrustning
  • Mobilkommunikationssystem
  • Inbyggda system
  • Övriga

Målet

  • Servrar och serverapplikationer
  • Arbetsstationer och slutanvändarapplikationer
  • Nätverksutrustning
  • Mobilkommunikationssystem
  • Inbyggda system
Mer information +

Attackmetoden

  • Utan inloggning
  • På distans
  • Utan användarens medverkan
Mer information om attackmetoden +

Utnyttjandet

  • Modifiering av uppgifter
  • Anskaffning av konfidentiell information
  • Att förbigå säkerheten
Mer information om utnyttjandet +

Åtgärdandet

  • Korrigerande programuppdatering
Mer information om åtgärdandet +

Sårbara program:

  • OpenSSL 1.0.1g och tidigare versioner
  • OpenSSL 1.0.0l och tidigare versioner
  • OpenSSL 0.9.8y och tidigare versioner

Åtgärds- och begränsningsmöjligheter:

Uppdatera det sårbara programmet i enlighet med tillverkarens anvisningar. För användare av Linux rekommenderas uppdateringstjänster som Linux-leverantören tillhandahåller. En tjänst som använder ett sårbart bibliotek måste startas om efter uppdateringen.

Mer information:


Uppdateringshistorik

Ämnesord: Informationssäkerhet , Sårbarheter

LinkedIn Print

logo

Kommunikationsverket

Cybersäkerhetscentret

PB 313, 00181 Helsingfors


Mediekontakter per telefon: +358 295 390 248