Kritisches Sicherheitsloch in OpenSSL gestopft

Das OpenSSL-Projekt hat wie Anfang der Woche angekündigt ein Sicherheitsupdate für seine gleichnamige Verschlüsselungssoftware veröffentlicht. Es schließt insgesamt 12 Sicherheitslücken, von denen eine als „kritisch“ bewertet ist. Betroffen sind die Versionen 1.0.2, 1.0.1, 1.0.0 und 0.9.8.

Die kritische Schwachstelle erlaubt unter Umständen Denial-of-Service-Angriffe gegen Server, die OpenSSL verwenden. Sie wurde am 26. Februar vertraulich von David Ramos von der Stanford University gemeldet.

Zudem wurde nachträglich der Schweregrad der Freak-Lücke von „niedrig“ auf „kritisch“ angehoben, nachdem Studien gezeigt hätten, dass die Verbreitung der für den Export vorgesehen schwachen RSA-Schlüssel größer sei als bisher bekannt, heißt es in einem Advisory. Die Freak-Lücke war dem OpenSSL-Projekt demnach schon seit Oktober 2014 bekannt. Ein Fix steht seit dem 8. Januar zur Verfügung.

Von den weiteren Fehlern geht ein mittleres oder niedriges Risiko aus. Sie führen möglicherweise zu einem Absturz der Anwendung oder erlauben ebenfalls DoS-Attacken. Betroffene Nutzer sollten auf die aktualisierten Versionen 1.0.2a, 1.0.1m, 1.0.0r oder 0.9.8zf umsteigen. Das OpenSSL-Projekt weist zudem erneut darauf hin, dass der Support für die Versionen 1.0.0 und 0.9.8 am 31. Dezember eingestellt wird.

Sicherheitsexperten stufen laut Reuters die jetzt geschlossenen Lücken als nicht so schwerwiegend ein wie die vor einem Jahr bekannt gewordene Heartbleed-Lücke. Sie gab Zugriff auf den flüchtigen Speicher eines Webservers. Angreifer konnten so kritische Informationen auslesen und den Server sogar gegenüber Dritten verkörpern, indem sie sich den Schlüssel des Originalservers verschafften. Sie konnten auch Nutzernamen und Passwörter von Usern auslesen.

„Das scheint keine große Geschichte zu sein“, zitiert Reuters Ivan Ristic, Director of Application Security bei Qualys. Mit Hinblick auf die Spekulationen, die die Patch-Ankündigung des OpenSSL-Projekts Anfang der Woche ausgelöst hatte, ergänzte er: „Ich glaube, die Leute hatten Angst, das würde schlimm werden, was den ganzen Hype ausgelöst hat.“

[mit Material von Zack Whittaker, ZDNet.com]

Tipp: Kennen Sie die berühmtesten Hacker? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.