OpenSSL מזהיר מפני פגיעות אבטחה קריטית עם התיקון הקרוב

אין לנו עדיין את הפרטים, אבל אנחנו יכולים לומר בבטחה שהחל מה-1 בנובמבר, כולם -- ואני מתכוון לכולם -- יצטרכו לתקן את OpenSSL 3.x.

כולם תלויים ב- OpenSSL. אתה אולי לא יודע את זה, אבל OpenSSL הוא מה שמאפשר להשתמש מאובטח Transport Layer Security (TLS) על לינוקס, Unix, Windows, ומערכות הפעלה רבות אחרות. זה גם מה שמשמש לנעילה כמעט של כל יישום תקשורת ורשת מאובטח ומכשיר שם בחוץ. 

עדכון: OpenSSL מתחמק מכדור אבטחה

אז כולנו צריכים להיות מודאגים מכך שמארק קוקס, מהנדס תוכנה מכובד ברד האט וסמנכ"ל האבטחה של קרן התוכנה אפאצ'י (ASF), צייץ השבוע, "עדכון OpenSSL 3.0.7 לתיקון CVE קריטי ביום שלישי הבא 1300-1700UTC".

כמה רע זה "קריטי"? על פי OpenSSL, בעיה של חומרה קריטית משפיעה על תצורות נפוצות וסביר להניח שהיא גם ניתנת לניצול. 

סביר להניח שהוא ינוצל לרעה כדי לחשוף תוכן של זיכרון שרת, ואולי לחשוף פרטי משתמש, וניתן יהיה לנצל אותו בקלות מרחוק כדי לסכן מפתחות פרטיים של השרת או להפעיל קוד מרחוק. במילים אחרות, פחות או יותר כל מה שאתה לא רוצה שיקרה במערכות הייצור שלך.

אפ! 

הפעם האחרונה ש-OpenSSL בעטה בשיני האבטחה שלה כמו זו הייתה ב-2016. פגיעות זו יכולה לשמש כדי לקרוס ולהשתלט על מערכות. גם שנים לאחר הגעתה, חברת האבטחה צ'ק פוינט העריכה שהיא השפיעה על יותר מ-42% מהארגונים. 

זה יכול להיות גרוע יותר. אנחנו יכולים רק לקוות שזה לא נורא כמו אלוף כל הזמנים של חורי האבטחה של OpenSSL, HeartBleed של 2014.

אז למה להכריז על חור האבטחה לפני שהתיקון נכנס? קוקס הסביר: "זו המדיניות שלנו... לספק לאנשים תאריך שהם מכירים כדי להיות מוכנים לנתח ייעוץ ולראות אם הנושא משפיע עליהם". 

אבל האם האקר לא יכול למצוא אותו ולנצל אותו כיום אפס? הוא לא חושב כך. "בהתחשב במספר השינויים ב-3.0 ובהיעדר כל מידע אחר על ההקשר, סריקה כזו היא מאוד לא סבירה".

יש עוד בטנה כסופה קטנה בענן האפל הזה. חור חדש זה משפיע רק על גרסאות OpenSSL 3.0.0 עד 3.0.6. לכן, מערכות הפעלה והתקנים ישנים יותר צפויים להימנע מבעיות אלה. לדוגמה, Red Hat Enterprise Linux (RHEL) 8.x וגרסאות קודמות ו-Ubuntu 20.04 לא ייפגעו ממנו. RHEL 9.x ואובונטו 22.04, לעומת זאת, הם סיפור אחר. הם כן משתמשים ב-OpenSSL 3.x.

אם אתה משתמש לינוקס, אתה יכול לבדוק את המערכת שלך על ידי הפעלת פקודת המעטפת: 

# גרסת OpenSSL

במקרה שלי, המחשב הנייד שלי מולי פועל דביאן Bullseye, אשר משתמש OpenSSL 1.1, אז המחשב הזה הוא טוב.

אבל, אם אתה משתמש במשהו עם OpenSSL 3.x ב -- כל דבר -- תתכונן לתקן ביום שלישי. זה צפוי להיות חור אבטחה גרוע, וניצול לרעה יגיע בקרוב. תרצה להפוך את המערכות שלך לבטוחות בהקדם האפשרי.