11 bajtów złośliwego kodu łamie protokół OpenSSL, na którym opiera się Internet

Zaledwie 11-bajtowy złośliwy pakiet może spowodować atak DDoS na serwerach z zainstalowaną biblioteką OpenSSL z powodu błędów alokacji pamięci. Taki atak jest bardzo łatwy do przeprowadzenia, ale trudny do odparcia. Wersje 4.0.1, 3.6.3, 3.5.7, 3.4.6 i 3.0.21 otrzymały pilne poprawki.

[konto-z-sufitu]

luka dawno załatana, można się rozejść.

[Hole_to_another_universe]

@konto-z-sufitu

[konto-z-sufitu]

@Hole_to_another_universe: Zazdrościsz, bo tak nie umiesz.

[Jailer]

Protokół OpenSSL? Serwery OpenSSL? Co to za p---------e?

[Jailer]

@jestemjakijestem1212: o tu:

[PuchaczLesny]

Co to za p---------e?

@Jailer: laika który sili się na napisanie artykułu

[real_scoria]

11 bajtów i serwer klęka, bo ktoś zrobił pre-alokację pamięci przed walidacją realnych danych. Klasyczny błąd z podręcznika, tylko że akurat w bibliotece na której stoi pół internetu. Ciekawe ile takich bomb jeszcze czeka w kodzie, który wszyscy traktują jako pewnik.

[zbyslaw33]

@real_scoria: Panie, gdybyś spojrzał do kodu openssla to nie dziwiłbyś się że tam są bugi tylko że to w ogóle się kompiluje i działa.

[jeanpaul]

11 bajtów i serwer klęka, bo ktoś zrobił pre-alokację pamięci przed walidacją realnych danych. Klasyczny błąd z podręcznika, tylko że akurat w bibliotece na której stoi pół internetu. Ciekawe ile takich bomb jeszcze czeka w kodzie, który wszyscy traktują jako pewnik.

@real_scoria: panie, poka swoj kod tez sie bedziem smiac.

Istotne jest ze poprawki sa, a nie jak w mikromiekkim czy innych produktach sterowanych przez ksiegowych otware bugi latami czekaja.

[Savicky]

Nie chce mi się nawet w ten bełkot klikać. Nawet głupie AI wie, że OpenSSL to nie protokół.

[Arv_]

Dawno, daaawno temu potrzebowałem sobie przerobić openssl s_client, żeby móc wskazać interfejs z którego będzie nawiązywane połączenie. Nie mam dużego doświadczenia programistycznego, ale przegląd kodu openssla spowodował u mnie traumę. Tam był nieziemski b----l jak na kod, który robił kryptografię w prawie całym internecie.

Chcę wierzyć, że dzisiaj jest lepiej.

[bama-kala]

Według nich, w trakcie nawiązywania połączenia TLS każda wiadomość ma 4-bajtowy nagłówek, który określa rozmiar przychodzącej wiadomości. Jednak podatne na ataki wersje OpenSSL przydzielają przestrzeń pamięci na zadeklarowaną długość wiadomości jeszcze przed odebraniem treści i sprawdzeniem jej rozmiaru.

nie wiem na jakim trzeba być haju, żeby zastosować taki algorytm - jak to mówią - zróbmy tak - co złego może się stać (ʘ‿ʘ)

[adammich]

@bama-kala: przecież jest w arykule parę zdań później napisane że przydziela najwyżej do 131kb.

No i chyba te dane o frafmentacji sterty są przesadzone bo do allokacji 128kb/131kb nie występuje fragmentacja przynajmniej w implementacji Windows.

[vytah]

@bama-kala: Przecież nie można najpierw odebrać wiadomości a potem przydzielić na nią pamięć. Gdzie będziesz tę wiadomość trzymać?

[SpokojnyPan]

Jak się sledzi luki to sie wie, ze soft jest pobugowany i sluzby albo grupy hakerskie draza az znajda jakas luke. Jak z autami - jak chca to ukradna, a systemy chronia przed zwyklymi mietkami... Jestesmy nadzy, doslownie. Bo co chwila wyplywaja kilkuletnie luki

[8kiwi]

Może nie jest idealnie; ale przynajmniej nie ma tragedii jak z Windowsem XP i worm blasterem #pdk

[sajmonm]

Pamiętam jak nauczyciel w technikum mówił, że jak Open SSL zostanie złamany to w zasadzie koniec sieci Inernet.

[Jailer]

@MiedzygalaktycznyMors: TLS to tylko jeden z wielu protokołów, które OpenSSL implementuje. Rozumiem, że zwykły zjadacz chleba może nie widzieć różnicy, ale jeżeli takie dyrdymały pisze portal w teorii technologiczny albo mówi je "nauczyciel", to nóż sam się w kieszeni otwiera.

[Jailer]

@shadow_82: piję do tego, ale najwidoczniej w sposób inny, niż Ci się wydaje :) Algorytm AES też jest znany, więc na pewno nikt go nie używa do szyfrowania danych, bo co to za zabezpieczenie xD

[xe29gR3xL3Z1]

Każdy kumaty przeszedł na libressl z 12 lat temu.

[PruderyjnyPejoratyw]

@xe29gR3xL3Z1: I każdy kumaty wrócił na OpenSSL z 6 lat temu.

[Luciferrrro]

@xe29gR3xL3Z1: Ja tam wolę ssl365