Uusi SSL-haavoittuvuus löydetty, koskee kaikkia OpenSSL-asiakasohjelmia

OpenSSL.org kertoo uudesta haavoittuvuudesta, josta tiedot on julkaistu tänään. Haavoittuvuus koskee kaikkia OpenSSL-asiakasohjelmia versiosta riippumatta, mutta havoittuvuuden hyödyntämiseen tarvitaan myös haavoittuva palvelin.

Niin kutsuttu Man-in-the-middle-hyökkäys (lyh. MITM) on mahdollista tehdä asiakasohjelman pakottaman heikon salauksen yhteydessä. Hyökkäys voi pahimmassa tapauksessa johtaa liikenteen kaappaamiseen ja muokkaamiseen.

Vaikka haavoittuvuus koskee kaikkia OpenSSL-asiakasohjelmaversiota, niin hyökkäys kuitenkin vaatii, että myös palvelinohjelmisto on versioltaan joko OpenSSL 1.0.1 tai 1.0.2-beta1. Myös 1.0.1:tä edeltävät versiot suositellaan päivitettäviksi.

Ohjelmat suositellaan päivitettävän seuraavasti
OpenSSL 0.9.8 SSL/TLS -> 0.9.8za.
OpenSSL 1.0.0 SSL/TLS -> 1.0.0m.
OpenSSL 1.0.1 SSL/TLS -> 1.0.1h.

Haavoittuvuus on ilmoitettu ensimmäisen kerran OpenSSL:lle toukokuun alussa. Loput tiedotteesta löydät täältä.

• haavoittuvuus
• OpenSSL