Nedir bu Heartbleed?
OpenSSL’in TLS/TDLS heartbeat eklentisi implementasyonunda ortaya çıkan bir “memory leak” zafiyetidir. 64K

Nasıl Çözebilirim?
Zafiyet OpenSSL tarafından kapatıldı. OpenSSL’in yayınladığı bildiriye buradan ulaşabilirsiniz. Upgrade edemeyen kullanıcıların sistemlerindeki OpenSSL yüklemelerini -DOPENSSL_NO_HEARTBEATS parametresi ile tekrar derlemeleri gerekiyor.

Ne gibi bir riski var?
Zafiyet son derece kritik. Saldırgan herhangi bir iz bırakmadan 64K memory’i dump edebiliyor. Mevcut bağlantısını koparmadan memory’nin tamamını dump edebilir.

Dump edilen memory’de SSL Sertifikası, Private Key’ler, HTTP(S) header’ları, kullanıcıların post ettikleri data’lar, Cookie’ler ve aklınıza gelebilecek encrypted her veri yer alabilir. Zafiyet için çözüm önerileri, yama ve yeni versiyon yayınlanmasına rağmen bir çok sistem bu zafiyeti barındırıyor. Daha kötüsü gömülü cihazlar v.b güncellemenin bir an önce yapılamayacağı platformlar büyük bir risk altında. Heartbleed zafiyetinin bir bug^H^H^H backdoor olduğu konusunda söylentiler dolaşıyor. NSA’in kime ne kadar tekliflerde bulunduğu gibi spekülasyonlara girmeden ufak bir kaç PoC screenshot’ı ile bu yazıyı burada sonlandırıyoruz.

Testlerimiz sırasında sertifika, cookie bilgisi, username/password gibi kritik bilgileri sızdıran zafiyetli sistemler olduğunu keşfettik ve haberdar olmayan sistemleri uyardık, uyarmaya devam edeceğiz. Güvenli internetler!

Kaynak: http://adeosecurity.com/openssl-heartbleed-bug/


Etkilenip, etkilenmediğinizi kontrol etmek için http://filippo.io/Heartbleed/