Podatności dotyczą biblioteki OpenSSL w wersjach 3.0.0 – 3.0.6 (włącznie). Wersja 3.0.0 została wydana w listopadzie 2021 roku. Poprzednie wersje nie są podatne. Jak czytamy, w przypadku obu luk problem występuje w procesie walidacji certyfikatu: A buffer overrun can be triggered in X.509 certificate verification – zatem dotyczy głównie części…
Czytaj dalej »
OpenSSL wypuścił właśnie łatkę, informując o luce: Heap memory corruption with RSA private key operation (CVE-2022-2274). The OpenSSL 3.0.4 release introduced a serious bug in the RSA implementation for X86_64 CPUs supporting the AVX512IFMA instructions.This issue makes the RSA implementation with 2048 bit private keys incorrect on such machines and…
Czytaj dalej »
Co się dzieje jeśli ktoś wykradnie Ci klucz prywatny (związany z certyfikatem SSL) i np. go opublikuje? Możesz zgłosić taki wyciek i CA powinien unieważnić taki certyfikat. Ale jak CA sprawdzają czy klucz prywatny, który wyciekł związany jest rzeczywiście z kluczem publicznym w certyfikacie SSL? Różnie z tym bywa, a…
Czytaj dalej »
Jak to mawiają – z deszczu pod rynnę. OpenSSL łatając 22 września kilka błędów, opisywanych również przez nas (możliwość realizacji DoS-ów), wprowadził nową podatność – oznaczoną jako Critical.
Czytaj dalej »
Załoga niesłynnego OpenSSL właśnie ogłosiła kolejny bug z krytycznością High – na domyślnych konfiguracjach można odpowiednio przygotowanymi requestami HTTPS wyczerpać dostępną pamięć: (…) this will eventually lead to a Denial Of Service attack through memory exhaustion. Servers with a default configuration are vulnerable even if they do not support OCSP. Zalecana przez OpenSSL…
Czytaj dalej »
Wydaje się że liczba błędów łatanych w Androidzie zamiast spadać – wzrasta. Tym razem, w lipcowym biuletynie bezpieczeństwa, dość niepokojące jest oznaczenie błędu w OpenSSL jako Critical RCE (mimo mniej groźnych informacji na samych stronach OpenSSL): Mimo tego, tym razem Google wymienia jako najbardziej niebezpieczne, błędy związane z obsługą multimediów: The…
Czytaj dalej »
Wydaje się, że powoli czas odchodzić od OpenSSL: tym razem wydano paczkę zawierającą poprawki m.in. 2 błędów o poziomie niebezpieczeństwa wysokim. Jedna z nich umożliwia na częściowe odszyfrowanie ruchu (z wykorzystaniem odpisywanego ostatnio przez nas Padding Oracle) – przy pewnych warunkach. Błąd wprowadzono łatając podatność Lucky 13 (CVE-2013-0169), która łatała…
Czytaj dalej »
Opublikowany został błąd w OpenSSL (Severity: High) , umożliwiający odszyfrowanie przechwyconej komunikacji zaszyfrowanej bezpiecznym protokołem TLS. Całość wymaga aby na serwerze terminującym TLS obsługiwany był też SSLv2. Istotne jest, że przechwycona sesja wcale nie musi korzystać z tego starego protokołu, wystarczy że jest on obsługiwany po stronie serwerowej. Co więcej,…
Czytaj dalej »
W przeciwieństwie do wielu innych krajów holenderski rząd opowiedział się jasno za powszechnym prawem do stosowania skutecznych rozwiązań kryptograficznych.
Czytaj dalej »
Ogłoszony dzisiaj bug w OpenSSL (severity: high) wygląda dość groźnie…: An error in the implementation of this logic can mean that an attacker could cause certain checks on untrusted certificates to be bypassed, such as the CA flag, enabling them to use a valid leaf certificate to act as a…
Czytaj dalej »
12 błędów bezpieczeństwa w OpenSSL
Czytaj dalej »
Po kilku fragmentarycznych i niepełnych wyjaśnieniach wiemy już, że atak na openssl.org nastąpił poprzez słabe hasła dostępowe w infrastrukturze hostingodawcy, co dało atakującym dotęp do konsoli zarządczej hypervisora. Fakt ten właśnie potwierdzili sami zainteresowani – na stronach projektu openssl: The OpenSSL server is a virtual server which shares a hypervisor…
Czytaj dalej »
