En kritisk fejl i et krypto bibliotek (heartbeat funktionalitet), som estimeres til at blive anvendt i to tredjedele af alle OpenSSL implementeringer, giver mulig for at læse krypteret indhold i sikker webkommunikation. Problemet rammer både Apache, NGINX og TOR samt talrige andre services. OpenSSL har besvaret fejlen ved at frigive version 1.0.1g.
Fejlen, som har eksisteret i mere end to år, i flere versioner af produktionsudgaven af OpenSSL, har åbnet mulighed for Man-in-the-Middle angreb, hvor en person kan misbruge implementeringssvagheden til at lytte med på krypteret trafik. Problemet skyldes, teknisk set, et manglende bounds check under håndtering i TLS heartbeat udvidelsen (RFC6520) som udløser et read overrun.. Fejlen befinder sig i alle OpenSSL baserede services og ikke udelukkende HTTPS, men også SMTP med STARTTLS, IMAP over SSL og FTP over SSL.
Denne sårbarhed har fået kælenavnet "Heartbleed" og modtaget følgende CVE-ID: CVE-2014-0160. Hullet har massive downstream komplikationer og alle som anvender ELB er sårbare.
Bemærk, at den centrale del af denne sårbarhed, som sådan ikke udelukkende er isoleret til OpenSSL men det faktum at dine private nøgler til server-side certificater er eksponeret for tredjepart. En angriber kan stjæle private certifikater, brugernavne/passwords, email, og foretningskritiske dokumenter og kommunikation.
OpenSSL fra version 1.0.1 til 1.0.1f og 1.0.2-beta er sårbare. CSIS anbefaler at alle opgraderer til version 1.0.1g eller som et "workaround" kompilerer OpenSSL til at bruges uden heartbeats udvidelsen: "-DOPENSSL_NO_HEARTBEATS". Derudover skal man skifte den private nøgle som er knyttet til installationen.
PoC er i omløb, hvilket øger risikoen for misbrug betragteligt.
Der er tilmed oprettet en webside, hvorfra man kan teste om ens services/applikationer er sikre:
http://filippo.io/Heartbleed/
Bemærk, at denne udelukkende checker webservices.
Yderligere oplysninger:
http://heartbleed.com/
https://www.openssl.org/news/secadv_20140407.txt
Teknisk analyse:
http://blog.existentialize.com/diagnosis-of-the-openssl-heartbleed-bug.html