1. 首页
  2. 服务器

OpenSSL现新漏洞:或比“心脏流血”更危险

在OpenSSL网络加密标准中,最新又被发现了更多的严重级漏洞,而这些漏洞则出现在恶名远扬的“心脏流血(Heartbleed)”漏洞被发现的两个月之后。据发现这些最新OpenSSL高危漏洞的研究人员Tatsuya Hayashi向媒体宣称,这些最新发现的OpenSSL漏洞可能比“心脏流血”漏洞更危险,因为这些最新漏洞能够被用来直接监控设备用户的通讯情况。

“心脏流血”漏洞今年4月被发现时,就一直被业界看作是目前为止最高危的互联网漏洞之一。OpenSSL旨在通过电子钥匙来保护用户的数据,但在最近几个月中,已经被曝光了大量的漏洞。

最新的这些漏洞自从1998年以来就一直存在,所幸的是,在这16年的时间内,这些漏洞一直未被从事开放源项目的付费和义务开发者发现。与此同时,据一些研究人员透露,本周详细列出的OpenSSL一大高危漏洞也是由负责“心脏流血”漏洞的同一人士引入。

据称,黑客可以利用Hayashi发现的这些漏洞,对同一网络中的目标实施攻击,例如对同一个公共Wi-Fi网络中的目标,黑客能够迫使被攻击PC和网络服务器之间连接点上的加密钥匙失效。在掌控了这些加密钥匙之后,攻击者就能够拦截数据。这些攻击者甚至还能够更改在用户和网站之间正在发送的数据,以此来诱骗被攻击用户发送出更多的敏感信息,例如用户名和密码等,这种攻击手法被称为“中间人”攻击法。

Hayashi声称:“在公开Wi-Fi网络形势下,攻击者能够非常轻松地窃取加密通讯数据,并改编虚假数据。被攻击者无法检测到攻击者的任何追踪行为。”

这一漏洞将会危及所未使用最新版本OpenSSL的PC和移动软件,其中包括Android手机上的Chrome浏览器,以及搭载OpenSSL 1.0.1的服务器以及搭载OpenSSL 1.0.2测试版的服务器。事实上,诸多网站主都将运行OpenSSL 1.0.1,因为OpenSSL 1.0.1已经修复了“心脏流血”漏洞。不过,幸运的是,OpenSSL经营团队已经发布了相关的补丁。目前,使用漏洞版本OpenSSL的互联网用户已经被要求安装相关的补丁,目前OpenSSL管理团队已经公布了相关详细方案,其中包括修复OpenSSL的其它一系列漏洞在内。

据称,此次最新发现的另一款OpenSSL漏洞,能够让攻击者发送恶意程序,进而影响运行OpenSSL的设备,从而再让这些设备泄露数据,这一漏洞也是被当初负责“心脏流血”漏洞事务的同一开发者引入,这名开发者就是罗宾·塞格尔曼(Robin Seggelmann)。

据安全公司Rapid7的战略服务副总裁尼克·皮尔科科(Nick Percoco)称,修复Hayashi发现的最新漏洞之工作量可能要比修复“心脏流血”漏洞的工作量大很多。

不过,谷歌安全工程师亚当·朗利(Adam Langley)在博客中称,许多受欢迎的浏览器似乎非常安全,没有遭到攻击。他称:“非OpenSSL客户端产品(包括IE、Firefox、台式Chrome、iOS版Chrome以及Safari等)都没有受到影响。当然,所有的OpenSSL必须对此产品进行更新。”

原创文章,作者:cheshirex,如若转载,请注明出处:https://www.homedt.net/5602.html

联系我们

联系QQ:28575315