Tag: openssl

Kto używa OpenSSL przegrał życie ;) na domyślnej konfiguracji można DoSować serwery

23 września 2016, 09:41 | W biegu | 1 komentarz

Załoga niesłynnego OpenSSL właśnie ogłosiła kolejny bug z krytycznością High – na domyślnych konfiguracjach można odpowiednio przygotowanymi requestami HTTPS wyczerpać dostępną pamięć: (…) this will eventually lead to a Denial Of Service attack through memory exhaustion. Servers with a default configuration are vulnerable even if they do not support OCSP. Zalecana przez OpenSSL…

Czytaj dalej »

Seria krytycznych bugów w Androidzie: RCE w OpenSSL, podatności w obsłudze mediów i driverach do WiFi

15 lipca 2016, 16:37 | W biegu | 0 komentarzy

Wydaje się że liczba błędów łatanych w Androidzie zamiast spadać – wzrasta. Tym razem, w lipcowym biuletynie bezpieczeństwa, dość niepokojące jest oznaczenie błędu w OpenSSL jako Critical RCE (mimo mniej groźnych informacji na samych stronach OpenSSL): Mimo tego, tym razem Google wymienia jako najbardziej niebezpieczne, błędy związane z obsługą multimediów: The…

Czytaj dalej »

OpenSSL łatając jedną podatność…wprowadził kolejną – severity: High

04 maja 2016, 21:34 | W biegu | komentarze 2

Wydaje się, że powoli czas odchodzić od OpenSSL: tym razem wydano paczkę zawierającą poprawki m.in. 2 błędów o poziomie niebezpieczeństwa wysokim. Jedna z nich umożliwia na częściowe odszyfrowanie ruchu (z wykorzystaniem odpisywanego ostatnio przez nas Padding Oracle) – przy pewnych warunkach. Błąd wprowadzono łatając podatność Lucky 13 (CVE-2013-0169), która łatała…

Czytaj dalej »

DROWN: nowa podatność w OpenSSL – można deszyfrować TLS przy pewnych warunkach

01 marca 2016, 21:08 | W biegu | 0 komentarzy

Opublikowany został błąd w OpenSSL (Severity: High) , umożliwiający odszyfrowanie przechwyconej komunikacji zaszyfrowanej bezpiecznym protokołem TLS. Całość wymaga aby na serwerze terminującym TLS obsługiwany był też SSLv2. Istotne jest, że przechwycona sesja wcale nie musi korzystać z tego starego protokołu, wystarczy że jest on obsługiwany po stronie serwerowej. Co więcej,…

Czytaj dalej »

OpenSSL.org shackowane dzięki…słabym hasłom

04 stycznia 2014, 16:03 | W biegu | 1 komentarz

Po kilku fragmentarycznych i niepełnych wyjaśnieniach wiemy już, że atak na openssl.org nastąpił poprzez słabe hasła dostępowe w infrastrukturze hostingodawcy, co dało atakującym dotęp do konsoli zarządczej hypervisora. Fakt ten właśnie potwierdzili sami zainteresowani – na stronach projektu openssl: The OpenSSL server is a virtual server which shares a hypervisor…

Czytaj dalej »