OpenSSL今日再度發布針對六項安全漏洞的修復方案——其中包括一個允許中間人（簡稱MITM）竊取加密連接的漏洞，外加一個可能允許攻擊者向存在風險的系統投放惡意軟件的漏洞。
一項DTLS無效片段漏洞（CVE-2014-0195，受影響的版本包括0.9.8、1.0.0以及1.0.1）可被用于向漏洞軟件所在的應用程序或者服務器注入惡意代碼。DTLS基本上屬于UDP（而非TCP）上的經典TLS加密機制，主要被用于保護視頻以及語音聊天等實時流媒體安全。
不過另一項SSL/TLS中間人漏洞（CVE-2014-0224，潛在影響到所有運行1.0.1以及1.0.2-beta1版本的客戶端及服務器）引發的后果可能更為嚴重，OpenSSL官方給出的咨詢解釋為：
攻擊者可以利用經過精心制作的握手活動強制使用OpenSSL SSL/TLS客戶端及服務器中的薄弱鍵入機制。這項漏洞可能會被中間人攻擊所利用，攻擊者可以借此對受攻擊的客戶端及服務器流量進行解密與修改。
這一攻擊活動只適用于存在漏洞的客戶端和服務器。OpenSSL全部版本的客戶端都存在這項安全漏洞。目前已知存在該漏洞的服務器端版本為OpenSSL 1.0.1與1.0.2-beta1。使用OpenSSL 1.0.1乃至更早版本的服務器用戶建議升級至新版本以預防此類安全問題的發生。
建議用戶和管理員檢查和更新他們的系統，針對OpenSSL的補丁可用在例如主要發行版的Linux上。
此次曝光的CVE-2014-0224中間人漏洞自OpenSSL最初版本時起就已經存在，發現該漏洞的日本安全研究人員Masashi Kikuchi解釋稱。
“好消息是，此類攻擊活動（利用CVE-2014-0224）需要中間人定位來對受害者進行窺探，而且那些非OpenSSL客戶端（包括IE、火狐、桌面版本Chrome以及iOS與Safari等）都不會受到影響，”谷歌公司高級軟件工程師Adam Langley今天在自己的個人博客中指出。
“不過歸根結底，每一位OpenSSL用戶還是應該盡早更新。”
DTLS漏洞的存在同樣令安全專家們驚懼不已。“OpenSSL DTLS漏洞的出現可追溯至今年四月，但直到今天才被正式報道出來。它可能允許遠程代碼在客戶端與服務器上執行（OpenSSL DTLS如今仍是一場安全噩夢），”計算機科學教授Matthew Green在一篇推文更新中指出。
“這項OpenSSL安全漏洞只是此類細化協議漏洞的一個典型代表，而LibreSSL不可能在fork中將其修復。”
這項建議發布自臭名昭著的Heartbleed安全漏洞被曝光的僅僅數周之后的周四。
Green教授預計，此次現身的這幾項漏洞在實際利用方面難度很高——這一點與可能導致密碼泄露的Heartbleed漏洞正好相反。
其它四項修復措施則已經能夠解決拒絕服務類型的漏洞。
安全漏洞管理企業Rapid7公司服務戰略副總裁Nicholas J. Percoco表示，目前有大量不同類型的服務器及其它互聯網接入系統需要進行更新，從而避免攻擊者利用這些已經存在修復方案的漏洞。
“新近曝光的這些OpenSSL中間人安全漏洞會影響到所有運行著OpenSSL的客戶端應用程序及設備，并在它們與存在漏洞的特定版本、包括最新版本服務器通信時引發問題，”Percoco解釋道。
“其中可能包括在今年四月初Heartbleed被披露后緊急完成過OpenSSL升級的大部分互聯網接入系統。中間人攻擊的危險系數很高，因為它可能允許攻擊者截獲客戶端（例如一位終端用戶）與服務器（例如網上銀行服務）之間本應受到嚴格加密的傳輸信息。
“這類攻擊在本質上是被動的，而且很可能不會被客戶端、服務器或者基于網絡的安全控制方案檢測到。”
Green教授同時補充稱，盡管有可能在短期內給系統管理員帶來額外的工作壓力與被迫加班，但深入挖掘OpenSSL中可能存在的更多安全漏洞仍然是一項很有意義的積極嘗試。
“OpenSSL安全漏洞在數量上的突然增長可以說在意料之中，而且并不是什么壞事。這就像是在春季大掃除中找到散落四處的垃圾一樣，”他指出。
備注
匿名網絡Tor的用戶們應當毫不遲疑地進行更新，因為這種中間人攻擊會對Tor客戶端及中繼體系造成影響。讀者朋友們甚至可能碰巧認識那位編寫出漏洞DTLS代碼的家伙，惠普ZDI團隊表示。
京公網安備 11010502049343號