Heartbleed

Heartbleed ir programmatūras kļūda atvērtā pirmkoda kriptogrāfijas bibliotēkā OpenSSL, kas ļauj tās ļaunprātīgam izmantotājam nolasīt saimniekdatora atmiņu un iegūt iespējami sensitīvus datus.

Pamatojoties uz audita ierakstu izpēti, tiek ziņots, ka daži uzbrucēji šo kļūdu izmantojuši vismaz piecus mēnešus pirms tās atklāšanas un izziņošanas."Were Intelligence Agencies Using Heartbleed in November 2013?", April 10, 2014, Peter Eckersley, EFF.org

 Vēsture 
2014. gada aprīlī Nīls Mehta no Google Security paziņoja par kļūdu visās pēc 2012. gada 14. marta izlaistajās OpenSSL versijās 1.0.1 sērijā. Kļūda iekļāva nopietnu atmiņas apstrādes kļūdu Transport Layer Security (TLS) Heartbeat paplašinājuma realizācijā. Šo defektu varēja izmantot, lai nolasītu līdz 64 kilobaitiem programmas atmiņas ar katru heartbeat pieprasījumu. Kļūda ir reģistrēta Common Vulnerabilities and Exposures sistēmā ar numuru CVE-2014-0160.

Kļūda darbojas, izmantojot izmainītu heartbeat pieprasījumu serverim, lai izvilinātu servera atbildi, kas normālā gadījumā satur to pašu datu buferi, kas tika saņemts. Trūkstot robežu pārbaudei, OpenSSL ietekmētās versijas nepārbaudīja pieprasījuma izmēra korektumu, ļaujot uzbrucējiem nolasīt patvaļīgu servera atmiņas izmēru.

 Ietekmētās OpenSSL versijas 
 OpenSSL 1.0.2-beta
 OpenSSL 1.0.1 – OpenSSL 1.0.1f
 Ja vien nav uzstādīts sistēmas ielāps CVE-2014-0160, kas nemaina bibliotēkas versiju, kā Debian (ieskaitot atvasinājumus kā Ubuntu Linux un Linux Mint), FreeBSD un Red Hat Enterprise Linux, ieskaitot atvasinājumus, kā CentOS un Amazon Linux gadījumā.

 Neietekmētās versijas 
 OpenSSL 1.0.2-beta2 (gaidāmā)
 OpenSSL 1.0.1g
 OpenSSL 1.0.0 (un 1.0.0 atzara laidieni)
 OpenSSL 0.9.8 (un 0.9.8 atzara laidieni)

Lai novērstu kļūdu, serveru administratoriem tiek ieteikts izmantot 1.0.1g versiju vai pārkompilēt OpenSSL ar -DOPENSSL_NO_HEARTBEATS parametru, atslēdzot ievainojamo iespēju, līdz servera programmatūra var tikt atjaunināta.

 Izmantošana ASV valdības vajadzībām 
Bloomberg News ziņoja, ka ASV Nacionālās drošības aģentūra regulāri izmantoja kļūdu, lai ievāktu informāciju un bija informēta par kļūdu vismaz divus gadus.

 Atsauces 

 Ārējās saites 
 Heartbleed kļūda OPENSSL 
 Kopsavilkums, jautājumi un atbildes par kļūdu  no Codenomicon Ltd
 Video (08:40) - Heartbleed kļūdas skaidrojums
 PCMAG - Nomainiet savas paroles
 'Heartbleed' kļūda: Nopietnāka kļūda pēdējo gadu laikā
Has the NSA Been Using the Heartbleed Bug as an Internet Peephole?—Wired (2014. gada 10. aprīlis)

Kategorija:Datoru drošība