Обнаружена новая уязвимость в интернет-протоколе

Организация OpenSSL Foundation обнародовала информацию о новой уязвимости (CVE-2014-0224) в протоколе шифрования OpenSSL, позволяющей успешно проводить атаки типа «человек посередине» (Man-in-the-Middle) — перехватывать данные на отрезке между клиентом и сервером, расшифровывать и читать их.

Для проведения атаки нужно, чтобы и клиент, и сервер использовали версию OpenSSL, в которой содержится уязвимость. На стороне клиента она содержится во всех версиях OpenSSL, на стороне сервера — в версиях OpenSSL 1.0.1 и 1.0.2-beta1. Брешь была обнаружена Масаси Кикути из компании Lepidum. Он же предложил патч для устранения проблемы. OpenSSL Foundation выпустила собственный патч на основе кода исследователя.

«Проблема заключается в том, что во время „рукопожатия“ OpenSSL некорректно принимает сообщение ChangeCipherSpec (CCS). Причем этот баг присутствует с самой первой версии OpenSSL», — рассказал Кикути