Logo von heise online

Suche
8

OpenSSL-Updates beseitigen Schwachstellen

Die OpenSSL-Entwickler haben die Versionen 0.9.8o und 1.0.0a vorgelegt, in denen sie nur sicherheitsrelevante Probleme gelöst haben. So lässt sich ein Fehler im ASN.1-Parser ausnutzen, um mit präparierten Strukturen einer "Cryptographic Message Syntax"-Nachricht (CMS) in nicht erlaubte Speicherbereiche zu schreiben. Möglicherweise lässt sich der Fehler ausnutzen, um Code in ein System zu schleusen und ein System zu kompromittieren. In dem OpenSSL-Zweig 0.9.8 ist CMS standardmäßig nicht aktiviert, im Zweig 1.0.0 ist es jedoch aktiviert.

Anzeige

Ein nicht initialisierter Puffer in der Funktion EVP_PKEY_verify_recover() der Version 1.0.0 lässt sich zudem missbrauchen, um einen ungültigen RSA-Schlüssel als gültig erscheinen zu lassen. Da bislang kaum eine Anwendung diese erst kürzlich eingeführte Funktion nutzt, ist die Tragweite des Problems gering. Nach Angaben der Entwickler greift bislang nur das OpenSSL-Tool pkeyutl darauf zurück.

Siehe dazu auch:

(dab)

8 Kommentare

Themen:

  1. OpenSSL liefert Freak-Update

    SSL

    Mit neuen Versionen der Kryptobibliothek OpenSSL schließt das Team des Open-Source-Projektes eine ganze Reihe von Schwachstellen; darunter auch die Freak-Lücke. Admins sollten die Updates umgehend einspielen.

  2. Wichtiges OpenSSL-Update wirft seinen Schatten voraus

    Wichtiges OpenSSL-Update wirft seinen Schatten voraus

    Server-Admins sollten sich den Donnerstagnachmittag freihalten: Das OpenSSL-Team will mehrere Schwachstellen schließen, darunter eine schwerwiegende.

  3. Die ersten OpenSSL-Updates des Jahres stehen an

    OpenSSL-Fix

    Die Entwickler der besonders auf Linux oft genutzten Kryptobibliothek OpenSSL haben eine Reihe von Lücken geschlossen. Updates stehen für drei Entwicklungszweige der Software bereit.

  4. OpenSSL-Updates - diesmal nicht ganz so schlimm

    OpenSSL-Updates - diesmal nicht ganz so schlimm

    Die OpenSSL-Entwickler beseitigen neun Sicherheitslücken, die meisten von Google-Forschern entdeckt. Allerdings ist diesmal nichts wirklich dramatisches dabei.

Anzeige