Vamos falar de HEARBLEED S2
Autor: HC Host | Publicado: 2014-05-17T06:30:00-07:00






Heartbleed é um bug de segurança na biblioteca OpenSSL criptografia de código aberto,

que é amplamente utilizado para implementar o Internet Transport Layer Security (TLS) protocolo.

Resultados Heartbleed de validação de entrada imprópria ( devido a uma limites ausentes cheque)

na implementação do Transport Layer Security (TLS) extensão batimentos cardíacos, o coração estar por trás do nome do bug. Esta vulnerabilidade é classificada como um buffer over-read.



"Esta falha permite que um atacante remoto recupere memória privada de um aplicativo que usa a biblioteca OpenSSL vulnerável em pedaços de 64k de cada vez."



A versão fixa do OpenSSL foi lançado em 07 de abril de 2014 , ao mesmo tempo que Heartbleed foi divulgada publicamente . Naquela época, cerca de 17 por cento ( cerca de meio milhão ) de servidores Web seguros da Internet certificados por autoridades confiáveis ​​, acreditava-se ser vulnerável ao ataque , permitindo o roubo de " chaves privadas e dos usuários dos servidores de cookies de sessão e senhas.



Um dos principais objetivos dos atacantes, é obter logins e senhas de acesso a contas de e-mail, mas, não para por ai. O SSL/TLS é também responsável pela comunicação segura de e-mail, mensagem instantânea e as VPNs (Virtual Private Networks).’



A falha Heartbleed não encontra-se no protocolo SSL/TSL, mas sim na biblioteca OpenSSL.



Quais versões do OpenSSL são afetados?



Estatuto dos diferentes versões:



OpenSSL 1.0.1 &nbsp; através 1.0.1f (inclusive) são vulneráveis&nbsp;

OpenSSL 1.0.1g não é vulnerável&nbsp;

OpenSSL 1.0.0 &nbsp; ramo não é vulnerável&nbsp;

OpenSSL 0.9.8 &nbsp; ramo não é vulnerável



OpenSSL 1.0.1g foi liberado para resolver esta vulnerabilidade. Quaisquer chaves geradas com uma versão vulnerável do OpenSSL deve ser considerada comprometida e regenerado e implantado após o patch foi aplicado.



Sistemas operacionais?&nbsp;



Algumas distribuições de sistemas operacionais já fornecidos com a versão OpenSSL são potencialmente vulnerável:&nbsp;



Debian Wheezy (estável), OpenSSL 1.0.1e-2 + deb7u4&nbsp;

Ubuntu 12.04.4 LTS, OpenSSL 1.0.1-4ubuntu5.11&nbsp;

CentOS 6.5, OpenSSL 1.0.1e-15&nbsp;

Fedora 18, OpenSSL 1.0.1e-4&nbsp;

OpenBSD 5.3 (OpenSSL 1.0.1c 10 de maio de 2012) e 5,4 (OpenSSL 1.0.1c 10 de maio de 2012)&nbsp;

FreeBSD 10.0 - 1.0.1e OpenSSL 11 fev 2013&nbsp;

NetBSD 5.0.2 (OpenSSL 1.0.1e)&nbsp;

OpenSUSE 12.2 (OpenSSL 1.0.1c)&nbsp;



Distribuição do sistema operacional com as versões que não são vulneráveis​​:&nbsp;



Debian Squeeze (oldstable), OpenSSL 0.9.8o-4squeeze14&nbsp;

SUSE Linux Enterprise Server&nbsp;

FreeBSD 8.4 - 0.9.8y OpenSSL 05 de fevereiro de 2013&nbsp;

FreeBSD 9.2 - 0.9.8y OpenSSL 05 de fevereiro de 2013&nbsp;

FreeBSD 10.0p1 - 1.0.1g OpenSSL (Na 08 abril 2014 18:27:46 UTC)&nbsp;

FreeBSD - 1.0.1g OpenSSL (Pelo 7 abr 2014 21:46:40 UTC)



Entenda :

 .

SCAN + EXPLOIT Heartbleed OpenSSL
http://pastebin.com/nfr3ivGk


SOURCE EXPLOIT - Heartbleed
http://pastebin.com/vznDZDS0

REF:
http://blog.inurl.com.br/2014/05/vamos-falar-de-hearbleed-s2.html
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-0160
https://en.wikipedia.org/wiki/Heartbleed
https://www.openssl.org/news/secadv_20140407.txt
http://heartbleed.com/