OpenSSL وصله‌هایی برای شش آسیب‌پذیری جدید ارائه کرده است. در این میان دو آسیب‌پذیری بحرانی وجود دارند که می‌توانند موجب اجرای کد موذیانه توسط مهاجم و ترجمه‌ی ترافیک HTTPS شوند.
OpenSSL یک کتابخانه‌ی رمزنگاری open source است که توسط بخش اعظمی از سرویس‌های اینترنت به‌طور گسترده‌ای برای رمزنگاری و حفاظت از ترافیک وب و ایمیل با استفاده از SSL یا TLS استفاده می‌شود.
یکی از این نقص‌های بحرانی، CVE-2016-2107 است که به مهاجمی که قابلیت فردی-در-میان را دارد، اجازه می‌دهد یک حمله‌ی Padding Oracle را آغاز کند که درصورتی‌که ارتباط از سیستم رمز AES-CBC استفاده کند و سرور از AES-NI پشتیبانی کند می‌تواند منجر به واضح کردن ترافیک HTTPS شود.
آسیب‌پذیری Padding Oracle (کد اکسپلویت) توسط Juraj Somorovsky با استفاده از ابزار TLS-Attacker که خودش ساخته است، کشف شد. این ابزار به توسعه‌دهندگان اجازه می‌دهد سرورهای TLS خود را با پیام‌های TLS خاص آزمایش کنند.
آسیب‌پذیری Padding Oracle در AES-NI CBC MAC Check از کتابخانه‌ی OpenSSL از سال ۲۰۱۳ وجود داشته یعنی زمانی که OpenSSL یک آسیب‌پذیری Padding Oracle دیگر به نام Lucky 13 که به رمزنگاری TLS آسیب می‌زد را وصله کرده بود.
Juraj در پست وبلاگ خود گفته است:
چیزی که ما از این باگ‌ها یاد گرفتیم این است که وصله کردن کتابخانه‌های رمزنگاری یک امر حساس است و باید توسط داده‌های درست و غلط آزمایش شود. برای نمونه، پس از بازنویسی بخش‌هایی از کد CBC padding، سرور باید برای بررسی رفتار صحیح با پیام‌های دارای padding نامعتبر نیز آزمایش شود. امیدوارم که ابزار TLS-Attacker بتواند برای چنین کاری را انجام دهد.
آسیب‌پذیری بحرانی دوم (CVE-2016-2108) یک نقیصه‌ی فساد حافظه در استاندارد ASN.1 برای کدگذاری، ارسال و کد برداری داده‌های OpenSSL است که به مهاجم اجازه‌ی اجرای کد موذیانه را بر روی وب سرور می‌دهد.
طبق اعلام OpenSSL، این آسیب‌پذیری می‌تواند به‌صورت بالقوه با استفاده از یک گواهی دیجیتال موذی که توسط CA مورد اعتماد، امضاشده باشد اکسپلویت شود.
OpenSSL همچنین چهار آسیب‌پذیری کم‌خطر شامل دو آسیب‌پذیری سرریز، یک مشکل Memory Exhaustion و یک باگ که منجر به بازگشت داده‌های دلخواه پشته به درون بافر می‌شود را وصله کرده است.
می‌توانید اطلاعات فنی بیشتر درباره‌ی آسیب‌پذیری‌های بحرانی OpenSSL را در CloudFlare پیدا کنید.
به‌روزرسانی‌های امنیتی برای هر دو نسخه‌ی OpenSSL 1.0.1 و OpenSSL 1.0.2 ارائه‌شده و توصیه می‌شود که مدیرهای شبکه به‌سرعت این وصله‌ها را اعمال کنند.
ثبت ديدگاه