OpenSSL łatając błąd wprowadził nową podatność – zdalne wykonanie kodu!

Jak to mawiają – z deszczu pod rynnę. OpenSSL łatając 22 września kilka błędów, opisywanych również przez nas (możliwość realizacji DoS-ów), wprowadził nową podatność – oznaczoną jako Critical.

The patch applied to address CVE-2016-6307 resulted in an issue where if a message larger than approx 16k is received then the underlying buffer to store the incoming message is reallocated and moved. (…) This is likely to result in a crash, however it could potentially lead to execution of arbitrary code.

Podatność zgłosił nasz rodak, Robert Święcki, a bug został załatany w 3 dni.

Aż strach pomyśleć, że jeszcze spora część globalnego ruchu https opiera się o openssl…

–ms