OpenSSL-lek kan denial of service veroorzaken

[Captain Kirk]

Er is een nieuwe versie van OpenSSL 1.1.0 uitgekomen die drie kwetsbaarheden verhelpt waardoor een aanvaller in het ergste geval OpenSSL kan laten crashen. Het gaat om https-servers die de CHACHA20-POLY1305-encryptie-algoritmes voor versleutelde verbindingen gebruiken.

Een aanvaller kan deze servers aanvallen en een heap-buffer-overflow veroorzaken, waardoor OpenSSL kan crashen. Dit kan weer gevolgen hebben voor bijvoorbeeld de applicatie of website die er gebruik van maakt. Het probleem speelt alleen in OpenSSL 1.1.0. OpenSSL-versies voor 1.1.0 zijn niet kwetsbaar. Het beveiligingslek is als "high" bestempeld. In deze gevallen komt het OpenSSL Project Team altijd met een nieuwe versie. De overige twee kwetsbaarheden hebben het stempel "moderate" en "low" gekregen.

Beheerders die OpenSSL 1.1.0 op hun servers draaien krijgen het advies naar OpenSSL 1.1.0c te upgraden. OpenSSL is één van de meest gebruikte software voor het versleutelen van internetverbindingen, bijvoorbeeld tussen websites en hun bezoekers.

 

 

bron: security.nl