OpenSSL łatając jedną podatność…wprowadził kolejną – severity: High

Wydaje się, że powoli czas odchodzić od OpenSSL: tym razem wydano paczkę zawierającą poprawki m.in. 2 błędów o poziomie niebezpieczeństwa wysokim.

Jedna z nich umożliwia na częściowe odszyfrowanie ruchu (z wykorzystaniem odpisywanego ostatnio przez nas Padding Oracle) – przy pewnych warunkach. Błąd wprowadzono łatając podatność Lucky 13 (CVE-2013-0169), która łatała właśnie problemy związane z paddingiem i innym miejscu. W oryginale:

A MITM attacker can use a padding oracle attack to decrypt traffic when the connection uses an AES CBC cipher and the server support AES-NI.

Druga to możliwość wykonania kodu w systemie operacyjnym. Brzmi groźnie, choć warunki konieczne do udanego wykorzystania podatności są dość złożone.

–ms