Závažná zranitelnost v OpenSSL 1.0.2

Vývojový tým OpenSSL informuje, že ve čtvrtek 28. ledna odpoledne budou vydány verze 1.0.2f a 1.0.1r kryptografické knihovny OpenSSL. Opraveny budou dvě zranitelnosti. Zranitelnost ve verzi 1.0.2 je závažná. Podpora verzí 1.0.0 a 0.9.8 byla ukončena k 31. 12. 2015. Bezpečnostní aktualizace tedy nebudou vydány. Podpora verze 1.0.1 bude ukončena k 31. 12. 2016.

26.1.2016 18:15 | Ladislav Hagara | Bezpečnostní upozornění

Komentáře

[petrfm]

Zase další díra do toho cedníku, s tím za chvíli nepůjde nic nabrat...

[pet I.]

Zase další díra do toho cedníku, s tím za chvíli nepůjde nic nabrat...

Omyl, nabírá se tím čím dál lépe, ty díry tam totiž byly od začátku, teď je akorát ucpávají

[Filip Jirsák]

Omyl.

Zranitelnost ve verzi 1.0.2 je závažná.

Ta závažná zranitelnost tedy ve verzi 1.0.1 nebyla a vznikla až ve verzi 1.0.2. A není to první taková chyba. Bohužel se po Heartbleed evidentně vrhli programátoři, kteří mají schopnosti asi tak stejné, jako autor Heartbleed…

[Jardík]

JardikTLS chybou postižen není. JardikTLS je API kompatibilní s OpenSSL (ale né ABI). Všechna volání vrací chybu, takže spojení nikdy není navázáno a chrání vás tak před špehovaním.

[Lol Phirae]

Ohromně praktické. Rozbil se mu zámek u dveří, tak dveře zazdil. Dovnitř se nedostane a je tak chráněn před vykradením.

[Sid]

Skoda ze to nepoznali/nepouzili (metamorfovane do materialnej formy) vasi rodicia, spojenie by nikdy nebolo naviazane. Vy by ste boli usetreny paranoje a zvysok ludstva od vasej obsesie

[petrfm]

To zní dobře, kde se to dá stáhnout?

[Pavel Půlpán]

Stáhnout se to nedá, protože k dispozici je pouze HTTPS.

[petrfm]

[pc2005]

Nemá třeba prohlížeč fallback na nešifrované spojení?

[Lol Phirae]

Tomu snadno zamezíš zablokováním portu 80, a pak již jsi takřka dokonale chráněn a web funguje bezkonkurenčně rychle!