Новый набор исправлений устраняет шесть уязвимостей в OpenSSL

Разработчики OpenSSL представили свежие версии 1.0.2h и 1.0.1t, в которых устранили ряд проблем, включая две с приоритетом «high». Исправленные уязвимости могли использоваться для реализации DoS-атак, выполнения произвольного кода, а также дешифровки трафика.

Новый набор исправлений устраняет шесть уязвимостей в OpenSSL

Новый набор исправлений устраняет шесть уязвимостей в OpenSSL

Первый из двух серьезный багов, это уязвимость CVE-2016-2107, которая возникла еще в 2013 году в результате исправления бага Lucky 13, позволявшего осуществлять TLS-атаки. Свежая проблема, связанная со старым исправлением, была обнаружена в апреле текущего года. Она позволяла реализовать атаку padding oracle для расшифровки HTTPS-трафика, при условии, что соединение использует шифр AES в CBC-режиме, а сервер поддерживает AES-NI.

Вторая серьезная уязвимость — CVE-2016-2108 является комбинацией двух других, менее критических проблем. Первый баг, составляющий данное «кобмо», был обнаружен исследователями в 2015 году и тогда же исправлен. Второй баг найден недавно — в марте 2016 года. Суммарно эти проблемы могут привести к нарушению целостности памяти, аварийному прекращению работы OpenSSL и даже могут сделать возможным выполнение произвольного кода. Уязвимость затрагивает парсер ASN.1, и опасна она только для OpenSSL ниже версий 1.0.2c и 1.0.1o, то есть выпущенных раньше июля 2015 года. Именно в июле устранили первую из проблем, составляющих CVE-2016-2108, а без этого атака не работает.

Также разработчики OpenSSL исправили четыре менее опасные уязвимости, в частности, приводящие к нарушению целостности хипа.