Новая обнаруженная в протоколе OpenSSL уязвимость позволяет перехватывать и расшифровывать данные, пересылаемые по интернету. Новая ошибка обнаружена спустя всего 2 месяца после нашумевшего бага Heartbleed.

Организация OpenSSL Foundation обнародовала информацию о новой уязвимости (CVE-2014-0224) в протоколе шифрования OpenSSL, позволяющей успешно проводить атаки типа «человек посередине» (Man-in-the-Middle) — перехватывать данные на отрезке между клиентом и сервером, расшифровывать и читать их.

Для проведения атаки нужно, чтобы и клиент, и сервер использовали версию OpenSSL, в которой содержится уязвимость. На стороне клиента она содержится во всех версиях OpenSSL, на стороне сервера — в версиях OpenSSL 1.0.1 и 1.0.2-beta1.

Брешь была обнаруженаМасаси Кикути(Masashi Kikuchi) из компании Lepidum. Он же предложил патч для устранения проблемы. OpenSSL Foundation выпустила собственный патч на основе кода исследователя.

«Проблема заключается в том, что во время «рукопожатия» OpenSSL некорректно принимает сообщение ChangeCipherSpec (CCS). Причем этот баг присутствует с самой первой версии OpenSSL», — рассказал Кикути на сайте Lepidum.

Эксперт предположил, что уязвимость не могли обнаружить в течение более 16 лет просто потому, что люди, выполняющие проверку, не обладают достаточным уровнем квалификации.

Новая уязвимость была обнаружена спустя 2 месяца после нахождения опасного бага, получившего название Heartbleed, также позволяющего получать доступ к зашифрованным с помощью OpenSSL данным.

В начале апреля известие о Heartbleed наделало много шума, так как угрозе оказались подвержены две трети всех серверов в мире. Многие известные компании, включая «Яндекс»,рекомендовали своим пользователям сменить пароли. На сегодняшний день этот баг устранен далеко не на всех серверах — около 12 тыс. популярных интернет-доменов остаются уязвимыми.

Подробнее: http://www.cnews.ru/top/2014/06/06/obnaruzhena_novaya_opasnaya_uyazvimost_v_internetprotokole_575027