心臟出血漏洞

心臟出血漏洞  ， 簡稱爲心血漏洞 ， 是一個出現在加密程序庫OpenSSL的安全漏洞 ， 該程序庫廣泛用於實現互聯網的傳輸層安全 （ TLS ） 協議 。 它於2012年被引入了OpenSSL中 ， 2014年4月首次向公衆披露 。 只要使用的是存在缺陷的OpenSSL實例 ， 無論是服務器還是客戶端 ， 都可能因此而受到攻擊 。 此問題的原因是在實現TLS的心跳擴展時沒有對輸入進行適當驗證 （ 缺少邊界檢查 ） ， 因此漏洞的名稱來源於 “ 心跳 ” （ heartbeat ） 。 該程序錯誤屬於緩衝區過讀 ， 即可以讀取的數據比應該允許讀取的還多 。 心臟出血在通用漏洞披露 （ CVE ） 系統中的編號爲 。 發佈安全公告 ， 提醒系統管理員注意漏洞 。 2014年4月7日 ， 即漏洞公開披露的同一天 ， OpenSSL發佈了修復後的版本 。 ， 在80萬最熱門的啓用TLS的網站中 ， 仍有 1.5 ％ 易受心臟出血漏洞的攻擊 。 因爲缺陷在於OpenSSL的實現 ， 而不是SSL / TLS協議本身 ， 所以除了OpenSSL之外的其他TLS實現方式 ， 如GnuTLS 、 Mozilla的網絡安全服務 （ NSS ） 和Windows平臺的TLS實現都不受影響 。