Os hackers de hoje se tornaram espertos. Você lhes dá uma pequena brecha e eles tiram proveito disso para quebrar seu código. Desta vez, a ira dos hackers recaiu sobre o OpenSSL, uma biblioteca criptográfica de código aberto, mais comumente usada por provedores de serviços de internet.
Hoje, o OpenSSL lançou uma série de patches para seis vulnerabilidades. Duas dessas vulnerabilidades são consideradas altamente severas, incluindo CVE-2016-2107 e CVE-2016-2108.
O CVE-2016-2017, uma vulnerabilidade severa, permite que um hacker inicie um ataque de preenchimento de Oracle. O Padding Oracle Attack pode decriptografar o tráfego HTTPS para uma conexão à Internet que usa criptografia AES-CBC, com um servidor que suporta AES-NI.
O Padding Oracle Attack enfraquece a proteção de criptografia, permitindo que os hackers enviem repetidas solicitações de conteúdo de texto simples sobre um conteúdo de carga útil criptografado. Esta vulnerabilidade em particular foi descoberta pela primeira vez por Juraj Somorovsky.
Juraj escreveu em um post no blog: “ O que aprendemos com esses bugs é que o patch de bibliotecas de criptografia é uma tarefa crítica e deve ser validado com testes positivos e negativos. Por exemplo, depois de reescrever partes do código de preenchimento CBC, o servidor TLS deve ser testado quanto ao comportamento correto com mensagens de preenchimento inválidas. Espero que o TLS-Attacker possa ser usado uma vez para essa tarefa. "
A segunda vulnerabilidade de alta gravidade que atingiu a biblioteca OpenSSL é chamada CVE 2016-2018. É uma grande falha que afeta e corrompe a memória do padrão OpenSSL ASN.1 que é usado para codificar, decodificar e transferir dados. Essa vulnerabilidade específica permite que hackers online executem e espalhem conteúdo mal-intencionado pelo servidor da web.
Embora a vulnerabilidade CVE 2016-2018 foi corrigida em junho de 2015, mas o impacto da atualização de segurança veio à tona após 11 meses. Essa vulnerabilidade específica pode ser explorada usando certificados SSL personalizados e falsos, devidamente assinados pelas autoridades de certificação.
O OpenSSL também lançou patches de segurança para outras quatro pequenas vulnerabilidades de estouro ao mesmo tempo. Isso inclui duas vulnerabilidades de estouro, um problema de exaustão de memória e um bug de baixa gravidade que resultaram em dados de pilha arbitrários sendo retornados no buffer.
As atualizações de segurança foram liberadas para o OpenSSl versão 1.0.1 e OpenSSl versão 1.0.2. Para evitar mais danos às bibliotecas de criptografia do OpenSSL, os administradores são aconselhados a atualizar os patches assim que possível.
Esta notícia foi originalmente publicada no The Hacker News
