Stfw.RuОрганизация OpenSSL Foundation обнародовала информацию о новой уязвимости (CVE-2014-0224) в протоколе шифрования OpenSSL, позволяющей успешно проводить атаки типа «человек посередине» (Man-in-the-Middle) — перехватывать данные на отрезке между клиентом и сервером, расшифровывать и читать их.
Для проведения атаки нужно, чтобы и клиент, и сервер использовали версию OpenSSL, в которой содержится уязвимость. На стороне клиента она содержится во всех версиях OpenSSL, на стороне сервера — в версиях OpenSSL 1.0.1 и 1.0.2-beta1.
Брешь была обнаружена Масаси Кикути (Masashi Kikuchi) из компании Lepidum. Он же предложил патч для устранения проблемы. OpenSSL Foundation выпустила собственный патч на основе кода исследователя.
«Проблема заключается в том, что во время «рукопожатия» OpenSSL некорректно принимает сообщение ChangeCipherSpec (CCS). Причем этот баг присутствует с самой первой версии OpenSSL», — рассказал Кикути на сайте Lepidum.
Эксперт предположил, что уязвимость не могли обнаружить в течение более 16 лет просто потому, что люди, выполняющие проверку, не обладают достаточным уровнем квалификации.
Новая уязвимость была обнаружена спустя 2 месяца после нахождения опасного бага, получившего название Heartbleed, также позволяющего получать доступ к зашифрованным с помощью OpenSSL данным.
В начале апреля известие о Heartbleed наделало много шума, так как угрозе оказались подвержены две трети всех серверов в мире. Многие известные компании, включая «Яндекс», рекомендовали своим пользователям сменить пароли. На сегодняшний день этот баг устранен далеко не на всех серверах — около 12 тыс. популярных интернет-доменов остаются уязвимыми.
