ओपनएसएसएल 1.0.1 और 1.0.2-बीटा में महत्वपूर्ण भेद्यता

कुछ घंटों पहले, द ओपनएसएसएल प्रोजेक्ट के कर्मचारियों ने एक सुरक्षा बुलेटिन जारी किया, जो लोकप्रिय क्रिप्टोग्राफिक लाइब्रेरी ओपनएसएसएल में महत्वपूर्ण भेद्यता CVE-2014-0160 की रिपोर्ट करता है।

भेद्यता TLS / DTLS प्रोटोकॉल के लिए हार्टबीट एक्सटेंशन प्रोसीजर (RFC6520) में से एक में आवश्यक सीमा सत्यापन की कमी के कारण है। एक प्रोग्रामर की इस छोटी सी त्रुटि के कारण, किसी को भी उन कंप्यूटरों की रैम तक सीधी पहुंच मिलती है, जिनके संचार ओपनएसएसएल के कमजोर संस्करण द्वारा "संरक्षित" हैं। विशेष रूप से, एक हमलावर गुप्त कुंजी, उपयोगकर्ता नाम और पासवर्ड और सभी सामग्री तक पहुंच प्राप्त करता है जिसे एन्क्रिप्टेड रूप में प्रेषित किया जाना चाहिए। इस स्थिति में, सिस्टम में प्रवेश का कोई निशान नहीं है।

जो कोई भेद्यता के बारे में जानता था, वह मार्च 2012 से लगभग पूरे इंटरनेट पर "एन्क्रिप्टेड" ट्रैफ़िक सुन सकता था, जब ओपनएसएसएल संस्करण 1.0.1 जारी किया गया था। उस समय, टीएलएस (बीईएएसटी) पर एक सफल हमले का प्रदर्शन किया गया था, और कई को टीएलएस 1.2 के सुरक्षित संस्करण में बदल दिया गया था, जिसकी उपस्थिति ओपनएसएसएल 1.0.1 के रिलीज के साथ हुई।

OpenSSL के कमजोर संस्करण का उपयोग लोकप्रिय Nginx और Apache वेब सर्वरों में, मेल सर्वर, IM सर्वर, वीपीएन और साथ ही कई अन्य कार्यक्रमों में किया जाता है। इस बग से होने वाला नुकसान बेहद शानदार है।

OpenSSL के एक कमजोर संस्करण के साथ कुछ ऑपरेटिंग सिस्टम वितरण:

• डेबियन व्हीज़ी (स्थिर), ओपनएसएसएल डायने -2 + डेब्यू 4)
• Ubuntu 12.04.4 LTS, OpenSSL 1.0.1-4ubuntu5.11)
• सेंटोस 6.5, ओपनएसएसएल 1.0.1-15)
• फेडोरा 18, ओपनएसएसएल 1.0.1e-4
• OpenBSD 5.3 (OpenSSL 1.0.1c) और 5.4 (OpenSSL 1.0.1c)
• FreeBSD 8.4 (OpenSSL 1.0.1e) और 9.1 (OpenSSL 1.0.1c)
• NetBSD 5.0.2 (OpenSSL 1.0.1e)
• OpenSUSE 12.2 (OpenSSL 1.0.1c)

OpenSSL के पुराने संस्करणों के साथ वितरण: डेबियन निचोड़ (पुराना), OpenSSL 0.9.8o-4squeeze14, SUSE लिनक्स एंटरप्राइज सर्वर।

बग ओपनएसएसएल 1.0.1 और 1.0.2-बीटा शाखाओं के सभी संस्करणों में मौजूद है, जिनमें 1.0.1f और 1.0.2-बीटा 1 शामिल हैं। सही संस्करण 1.0.1g है, जिसे सभी पीड़ितों को तुरंत स्थापित करना होगा, फिर नई कुंजी और प्रमाण पत्र उत्पन्न करना होगा और अन्य सुरक्षा उपाय करने होंगे। उपयोगकर्ताओं को उनके पासवर्ड के संभावित रिसाव की चेतावनी दी जानी चाहिए। यदि निश्चित संस्करण को तुरंत अपडेट करना संभव नहीं है, तो आपको ओपनएसएसएल को -DOPENSSL_NO_HEARTBEATS ध्वज के साथ फिर से जोड़ना चाहिए।

भेद्यता की खोज कोडेनोमिकॉन के सूचना सुरक्षा विशेषज्ञों द्वारा की गई थी, साथ ही साथ, स्वतंत्र रूप से, नील मेहता ने Google सुरक्षा प्रभाग से की थी। यह बाद वाला था जिसने ओपनएसएसएल प्रोजेक्ट के डेवलपर्स को सूचित किया कि उन्हें कोड को ठीक करने की तत्काल आवश्यकता है। कोडेनोमिकोन लोगों ने बग का विस्तृत विवरण तैयार किया और यहां तक ​​कि इसके लिए एक रक्तस्रावी हृदय की तस्वीर के साथ एक अलग हार्टब्लड डॉट कॉम वेबसाइट भी खोली।