OpenSSL phát hành bán vá cho lỗ hổng Poodle

Dự án OpenSSL đã phát hành một phiên bản mới của phần mềm mã hóa để vá một số lỗ hổng bảo mật bao gồm cả các lỗi được khai thác bởi các cuộc tấn công Poodle trên SSLv3.

Các phiên bản cập nhật của OpenSSL được đưa ra chỉ vài ngày sau khi một bộ ba của các nhà nghiên cứu tại Google tiết lộ các cuộc tấn công Poodle. Nó cho phép kẻ tấn công để “chèn ép” người sử dụng SSLv3 trong một số trường hợp và cuối cùng giải mã thông tin liên lạc bảo vệ giữa máy khách và máy chủ. Để giải quyết vấn đề này OpenSSL đã thêm hỗ trợ cho cơ chế TLS_FALLBACK_SCSV trong đó ngăn chặn kẻ tấn công từ việc có thể để buộc hạ cấp từ TLS xuống SSLv3.

“OpenSSL đã thêm hỗ trợ cho TLS_FALLBACK_SCSV  cho phép các ứng dụng ngăn chặn khả năng tấn công MITM để buộc một giao thức hạ cấp.”

Một số ứng dụng của người dùng (như các trình duyệt) sẽ kết nối lại bằng cách sử dụng một giao thức hạ cấp để tiếp cận những lỗi trên những máy chủ chưa được cập nhật. Điều này có thể bị khai thác bởi một “thành phần trung gian” hoạt động nhằm hạ cấp kết nối đến SSL 3.0 thậm chí ngay cả khi các giao thức hai bên hỗ trợ kết nối cao hơn. SSL 3.0 có một số điểm yếu là nguy hiểm Poodle (CVE – 2014-3566 ).

Các phiên bản cập nhật của OpenSSL cũng bao gồm một bản vá cho một lỗ hổng tiềm ẩn nguy cơ cao trong phần mở rộng SRTP DTLS có khả năng gây rò rỉ bộ nhớ.

Một lỗ hổng trong các mã phân tích cú pháp mở rộng DTLS_SRTP cho phép kẻ tấn công khiến OpenSSL không thể up lên đến 64k bộ nhớ và sau đó gây ra rò rỉ bộ nhớ. Điều này có thể được khai thác trong một cuộc tấn công từ chối dịch vụ. Vấn đề này ảnh hưởng đến quá trình triển khai trên máy chủ OpenSSL 1.0.1 cho cả SSL/TLS và DTLS bất kể SRTP được sử dụng hay không. Việc triển khai OpenSSL đã được tiến hành với OPENSSL_NO_SRTP và xác định là không bị ảnh hưởng.

Ngoài ra còn có một bản vá cho một lỗ hổng có ít có nguy cơ hơn. Nó là kết quả của vấn đề bên trong “no-ssl3” . Nó xây dựng lựa chọn cho phép máy chủ hoàn thành 1 thao tác với SSLv3.

threatpost