S2 HEARBLEED S2
Heartbleed é um bug de segurança na biblioteca OpenSSL criptografia de código aberto,
que é amplamente utilizado para implementar o Internet Transport Layer Security (TLS) protocolo.
Resultados Heartbleed de validação de entrada imprópria ( devido a uma limites ausentes cheque)
na implementação do Transport Layer Security (TLS) extensão batimentos cardíacos, o coração estar por trás do nome do bug. Esta vulnerabilidade é classificada como um buffer over-read.
"Esta falha permite que um atacante remoto recupere memória privada de um aplicativo que usa a biblioteca OpenSSL vulnerável em pedaços de 64k de cada vez."
A versão fixa do OpenSSL foi lançado em 07 de abril de 2014 , ao mesmo tempo que Heartbleed foi divulgada publicamente . Naquela época, cerca de 17 por cento ( cerca de meio milhão ) de servidores Web seguros da Internet certificados por autoridades confiáveis , acreditava-se ser vulnerável ao ataque , permitindo o roubo de " chaves privadas e dos usuários dos servidores de cookies de sessão e senhas.
Um dos principais objetivos dos atacantes, é obter logins e senhas de acesso a contas de e-mail, mas, não para por ai. O SSL/TLS é também responsável pela comunicação segura de e-mail, mensagem instantânea e as VPNs (Virtual Private Networks).’
A falha Heartbleed não encontra-se no protocolo SSL/TSL, mas sim na biblioteca OpenSSL.
Quais versões do OpenSSL são afetados?
Estatuto dos diferentes versões:
OpenSSL 1.0.1 através 1.0.1f (inclusive) são vulneráveis
OpenSSL 1.0.1g não é vulnerável
OpenSSL 1.0.0 ramo não é vulnerável
OpenSSL 0.9.8 ramo não é vulnerável
OpenSSL 1.0.1g foi liberado para resolver esta vulnerabilidade. Quaisquer chaves geradas com uma versão vulnerável do OpenSSL deve ser considerada comprometida e regenerado e implantado após o patch foi aplicado.
Sistemas operacionais?
Algumas distribuições de sistemas operacionais já fornecidos com a versão OpenSSL são potencialmente vulnerável:
Debian Wheezy (estável), OpenSSL 1.0.1e-2 + deb7u4
Ubuntu 12.04.4 LTS, OpenSSL 1.0.1-4ubuntu5.11
CentOS 6.5, OpenSSL 1.0.1e-15
Fedora 18, OpenSSL 1.0.1e-4
OpenBSD 5.3 (OpenSSL 1.0.1c 10 de maio de 2012) e 5,4 (OpenSSL 1.0.1c 10 de maio de 2012)
FreeBSD 10.0 - 1.0.1e OpenSSL 11 fev 2013
NetBSD 5.0.2 (OpenSSL 1.0.1e)
OpenSUSE 12.2 (OpenSSL 1.0.1c)
Distribuição do sistema operacional com as versões que não são vulneráveis:
Debian Squeeze (oldstable), OpenSSL 0.9.8o-4squeeze14
SUSE Linux Enterprise Server
FreeBSD 8.4 - 0.9.8y OpenSSL 05 de fevereiro de 2013
FreeBSD 9.2 - 0.9.8y OpenSSL 05 de fevereiro de 2013
FreeBSD 10.0p1 - 1.0.1g OpenSSL (Na 08 abril 2014 18:27:46 UTC)
FreeBSD - 1.0.1g OpenSSL (Pelo 7 abr 2014 21:46:40 UTC)
Entenda:
SCAN + EXPLOIT Heartbleed OpenSSL
http://pastebin.com/nfr3ivGk
SOURCE EXPLOIT - Heartbleed
http://pastebin.com/vznDZDS0
REF:
http://unknownsec.wordpress.com/2014/04/09/passo-a-passo-openssl-tls-heartbeat-extension-memory-disclosure/
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-0160
https://en.wikipedia.org/wiki/Heartbleed
https://www.us-cert.gov/ncas/alerts/TA14-098A
https://www.openssl.org/news/secadv_20140407.txt
http://heartbleed.com/
