Som du ser är vår webbplats inte anpassad för äldre webbläsare. Vi rekommenderar att du uppgraderar till en nyare webbläsare.

Uppdaterad | Publicerad - Sårbarhet, OpenSSL

Sårbarheter i OpenSSL rättade

Sju stycken sårbarheter i OpenSSL är åtgärdade. En av sårbarheterna medger exekvering av godtycklig kod.

CERT-SE rekommenderar att OpenSSL-installationer uppdateras snarast.

Problembeskrivning

Följande sårbarheter är rättade:

  • SSL/TLS MITM-attack (CVE-2014-0224): En "man-in-the-middle"-attack där krypteringen försvagas är möjlig. Angriparen kan då avlyssna kommunikationen mellan klient och server.

  • Tillgänglighetsattack om DTLS används (CVE-2014-0221): En DTLS-klient kan fås att krascha genom att skicka en riggad handskakning.

  • Exekvering av godtycklig kod om DTLS används (CVE-2014-0195): Både server och klient kan fås att exekvera godtycklig kod genom att angriparen skickar riggad DTLS data. Observera att endast installationer där DTLS används är sårbara.

  • Tillgänglighetsattack om SSL_MODE_RELEASE_BUFFERS är påslaget (CVE-2014-0198): Servern och klienten kan fås att krascha om SSL_MODE_RELEASE_BUFFERS är påslaget, vilket inte är standard.

  • Data kan injiceras då SSL_MODE_RELEASE_BUFFERS är påslaget (CVE-2010-5298): En angripare kan injicera data i SSL-sessionen om SSL_MODE_RELEASE_BUFFERS är påslaget, vilket inte är standard.

  • Tillgänglighetsattack om ECDH är påslaget (CVE-2014-3470): En klient kan fås att krascha om ECDH (Elliptic Curve Diffie Hellman) används.

  • Informationsläckage (CVE-2014-0076): En angripare kan få fram ECDSA-nonce (Elliptic Curve DSA). Denna sårbarhet åtgärdades i OpenSSL 1.0.1g.

Lösning

Uppdateringar som åtgärdar säkerhetsluckorna finns tillgängliga på OpenSSL:s webbplats:

  • OpenSSL 0.9.8-användare ska uppgradera till 0.9.8za.

  • OpenSSL 1.0.0-användare ska uppgradera till 1.0.0m.

  • OpenSSL 1.0.1-användare ska uppgradera till 1.0.1h.

En del Unix-distributioner har redan börjat släppa uppdateringen, exempelvis Debian.

Bakgrund

OpenSSL drabbades i mitten av april av den så kallade Heartbleed-sårbarheten. OpenSSL används bl.a. av de populära webbservrarna Apache och nginx. Microsoft IIS är inte sårbar. Observera att även klienter kan vara drabbade, exempelvis använder Cisco AnyConnect och vissa versioner av Android OpenSSL.

Mer information

https://www.openssl.org/news/secadv_20140605.txt
https://lists.debian.org/debian-security-announce/2014/msg00001.html
http://www.youtube.com/watch?v=qeLsgtMOp-M

Uppdateringar

2014-06-09: Djupare analys av två av sårbarheterna samt en tidslinje:

2014-06-09: Cisco har publicerat en lista över produkter som påverkas av sårbarheterna:

2014-06-11: Följande produkter har uppdaterats: