10 июня 2014
Эксперты нашли еще одну серьезную уязвимость в OpenSSL
По данным агентства Reuters, пакет OpenSSL содержит еще одну уязвимость серьезного характера. Она угрожает всем серверам, имеющим данный программный пакет. Официальное сообщение от сотрудников OpenSSL Foundation содержит все подробности по поводу обнаружения вредоносного ПО.
Ошибку кода выявил японский программист Масаси Кикути. Он описал все подробности в своем блоге. По его словам, он стал пристально изучать пакет после того, как в апреле в нем была обнаружена уязвимость типа Heartbleed.
Программист отметил, что при помощи данной уязвимости опытные хакеры способны изменять политику, связанную с шифрованием имени сервера и пользователя OpenSSL. После атаки злоумышленников библиотека начинает применять ненадежные ключи для шифрования информации. В случае, если передаваемый поток получается перехватить, хакер имеет возможность произвести расшифровку всех данных.
Кикути обратил особое внимание на то, что данная уязвимость присутствует уже на протяжении 16 лет, а найти ее не могли постольку, поскольку перед выпуском исходного пакета программного обеспечения не осуществляется соответствующая проверка.
Специалисты по информационной безопасности хотя и высказались по поводу данной уязвимости как не очень серьезной, но все же посоветовали пользователям OpenSSL как можно быстрее установить на свои компьютеры более новые версии, которые не содержат ошибки.
Хотелось бы напомнить, что сообщение об обнаружении Heartbleed в ПО OpenSSL поступило еще в апреле текущего года, в тот момент, когда его разработчики устранили ошибку, имевшую место еще с марта позапрошлого года. Выявленная уязвимость существовала из-за того, что отсутствовала необходимая проверка длины запроса, проводимая при расширении Heartbeat. Именно поэтому хакер имел возможность завладеть оперативной памятью ПК, защищенной посредством версии OpenSSL, содержащей уязвимость.
После этого в интервью с немецким программистом Робином Зеггельманом (он и добавил узявимость Heartbleed в пакет) выяснилось, что это было сделано случайно. Эксперт, который проверял работу программиста, да и сам Зеггельман не заметили эту ошибку, что в результате повлекло за собой выход финальной версии OpenSSL вместе с этой уязвимостью.
Специалисты высказались о том, что ошибка носит очень серьезный характер. Обнаружилось, что выявленная проблема могла повлиять на работу примерно 65% серверов со всего мира. Жертвами данной ошибки могли стать как минимум 200 000 россиян, совершавших покупки железнодорожных билетов с помощью своих банковских карт в период с 7 и по 14 апреля включительно.
В конце того месяца многие крупные компании, среди которых были и Facebook, Microsoft, Google объединили свои усилия с целью увеличения уровня безопасности для программ, имеющих открытый код, во избежание аналогичной ситуации, связанной с Heartbleed. На данный момент пока неизвестно, добились ли они каких-либо результатов или нет.
