Nedir bu Heartbleed?
OpenSSLin TLS/TDLS heartbeat eklentisi implementasyonunda ortaya çıkan bir memory leak zafiyetidir. 64K
Nasıl Çözebilirim?
Zafiyet OpenSSL tarafından kapatıldı. OpenSSLin yayınladığı bildiriye buradan ulaşabilirsiniz. Upgrade edemeyen kullanıcıların sistemlerindeki OpenSSL yüklemelerini -DOPENSSL_NO_HEARTBEATS parametresi ile tekrar derlemeleri gerekiyor.
Ne gibi bir riski var?
Zafiyet son derece kritik. Saldırgan herhangi bir iz bırakmadan 64K memoryi dump edebiliyor. Mevcut bağlantısını koparmadan memorynin tamamını dump edebilir.
Dump edilen memoryde SSL Sertifikası, Private Keyler, HTTP(S) headerları, kullanıcıların post ettikleri datalar, Cookieler ve aklınıza gelebilecek encrypted her veri yer alabilir. Zafiyet için çözüm önerileri, yama ve yeni versiyon yayınlanmasına rağmen bir çok sistem bu zafiyeti barındırıyor. Daha kötüsü gömülü cihazlar v.b güncellemenin bir an önce yapılamayacağı platformlar büyük bir risk altında. Heartbleed zafiyetinin bir bug^H^H^H backdoor olduğu konusunda söylentiler dolaşıyor. NSAin kime ne kadar tekliflerde bulunduğu gibi spekülasyonlara girmeden ufak bir kaç PoC screenshotı ile bu yazıyı burada sonlandırıyoruz.
Testlerimiz sırasında sertifika, cookie bilgisi, username/password gibi kritik bilgileri sızdıran zafiyetli sistemler olduğunu keşfettik ve haberdar olmayan sistemleri uyardık, uyarmaya devam edeceğiz. Güvenli internetler!
Kaynak:
http://adeosecurity.com/openssl-heartbleed-bug/
Etkilenip, etkilenmediğinizi kontrol etmek için
http://filippo.io/Heartbleed/