6 lỗ hổng mới xuất hiện trong OpenSSL

Các bạn còn nhớ lỗ hổng OpenSSL Heartbleed không? Nhiều tuần trước, sự xuất hiện của lỗi bảo mật này đã làm đóng băng hệ thống internet, tiết lộ rằng hàng triệu trang web rất dễ bị tấn công từ lỗ hổng trong mã OpenSSL mà họ sử dụng để mã hóa các thông tin liên lạc.

Thêm một lần nữa, OpenSSL đã cho ra bản cập nhật phần mềm để vá 6 lỗ hổng mới và 2 trong số đó là rất nguy hiểm.

Tấn công Man-in-the-Middle (CVE – 2014 – 0224)

Lỗ hổng quan trọng đầu tiên (có mã CVE – 2014 – 0224) trong OpenSSL là “CCS injection” (ChangeCipherSpec Injection) – Khai thác lỗ hổng này kẻ tấn công thực hiện cuộc tấn công “Man-in-the-middle” nhằm nghe lén các kết nối mã hóa giữa máy chủ và các khách. Kẻ tấn công có thể bắt được các kết nối mã hóa, cho phép kẻ tấn công có thể giải mã, đọc hay thao tác sửa đổi dữ liệu. Tuy nhiên, lỗ hổng được xác định là sẽ chỉ bị khai thác khi cả hai máy chủ và máy khách đều tồn tại vấn đề này.

Lỗ hổng CCS injection được tìm ra bởi một nhà nghiên cứu an toàn thông tin người Nhật Masashi Kikuchi đến từ hãng bảo mật Lepidum. Theo ông, vấn đề này được phát hiện từ ngay lần đầu tiên OpenSSL xuất hiện. RedHat cũng đăng một lời giải thích chi tiết về lỗi này trên trang blog bảo mật của họ.

Tất cả các phiên bản của OpenSSL đều có nguy cơ tồn tại lỗ hồng tại phía máy khách. Chỉ duy nhất phiên bản 1.0.1 và các phiên bản lớn hơn hiện nay được biết đến là có thể tồn tại lỗ hổng ở cả phía máy chủ. Các sản phẩm SSL VPN (Mạng riêng ảo) được cho là rất dễ khai thác bị lỗ hổng này.

Lỗ hổng DTLS invalid fragment vulnerability (CVE – 2014 – 0195)

Tin tặc sẽ gửi đi các đoạn DTLS không hợp lệ dến OpenSSL DTLS của hệ thống máy chủ hoặc máy khách, nó có thể dẫn đến cuộc tấn công tràn bộ đệm. Một kẻ tấn công có thể khai thác lỗ hổng này để thực thi các đoạn mã tùy ý trên một máy chủ hoặc máy khách chưa được cập nhật bản vá. Lỗ hổng này được đánh giá là rất nghiêm trọng.

Lỗ hổng DTLS recursion (CVE – 2014 – 0211)

Một kẻ tấn công từ xa có thể gửi một DTLS (Datagram Transport Layer Security) không hợp lệ để giao dịch bắt tay với một máy khách sử dụng OpenSSL DTLS, điều này sẽ làm cho các đoạn mã đệ qui của OpenSSL bị crash và tạo ra một cuộc tấn công DoS. Cuộc tấn công này chỉ xảy ra trong các ứng dụng sử dụng OpenSSL như một DTLS Client.

DTLS chủ yếu được sử dụng trong VOIP và các ứng dụng truyền thông khác có liên quan như hệ thống Cisco AnyConnect VPN Client. Trình duyệt web Chrome và Firefox cũng hỗ trợ DTLS cho WebRTC (Web Real – Time Communication) để chia sẻ file P2P và trò chuyện Voice/Video.

Những lỗ hổng OpenSSL quan trọng khác

• Con trỏ NULL SSL_MODE_RELEASE_BUFFERS (CVE – 2014 – 0198): Một lỗ hổng trong hàm do_ssl3_write có thể cho phép hacker từ xa có thể gây ra một từ chối dịch vụ thông qua con trỏ NULL dereference.
• SSL_MODE_RELEASE_BUFFERS Session Injection hoặc DOS (CVE – 2010 – 5298): Một điều kiện “Race Condition” trong hàm ssl3_read_bytes hco phép kẻ tấn công từ xa có thể chèn vào các dữ liệu thông qua các phiên giao dịch hay là nguyên nhân gây ra một cuộc tấn công từ chối dịch vụ.
• Anonymous ECDH denial of service (CVE – 2014 – 3470): Các OpenSSL TLS Client kích hoạt các bộ mã hóa Anonymous ECDH (Elliptic Curve Diffie Hellman) vô tình tạo ra một cuộc tấn công từ chối dịch vụ.

Tin tốt là những lỗ hổng này không nghiêm trọng như lỗi Heartbleed. Các phiên bản vá 0.9.8za, 1.0.0m Và 1.0.1h đều có sẵn trên trang web của OpenSSL để bạn có thể tải về và cập nhật. OpenSSL kêu gọi các công ty, tổ chức thực hiện việc cập nhật này càng sớm càng tốt.

Theo The Hacker News