OpenSSL kondigt belangrijke beveiligingsupdate aan voor 21 april

[Captain Kirk]

De ontwikkelaars van OpenSSL zullen volgende week dinsdag 21 april een belangrijke beveiligingsupdate uitbrengen, zo hebben ze aangekondigd. OpenSSL versie 1.1.1g zal één of meerdere kwetsbaarheden verhelpen waarvan de impact als "high" is bestempeld. Het is al meer dan drie jaar geleden dat er voor een beveiligingslek met een dergelijke impact in OpenSSL een beveiligingsupdate is verschenen.

Alle kwetsbaarheden die sinds februari 2017 werden gepatcht hadden een lagere impact. OpenSSL behoort tot de meest gebruikte software voor het versleutelen van internetverbindingen. Websites maken er bijvoorbeeld gebruik van om het verkeer van en naar bezoekers te versleutelen. Kwetsbaarheden in OpenSSL kunnen zeer grote gevolgen voor het internet hebben, zo heeft de Heartbleed Bug in het verleden aangetoond.

Een aantal keren per jaar verschijnt er een nieuwe versie van de software, waarmee onder andere beveiligingslekken worden verholpen. OpenSSL kent vier niveaus om de impact van kwetsbaarheden te beoordelen: low, moderate, high en critical. Voor beveiligingslekken die als high en critical zijn beoordeeld zal het OpenSSL-team een nieuwe versie uitbrengen. De overige twee categorieën kwetsbaarheden worden tijdens geplande updaterondes verholpen.

Via kritieke kwetsbaarheden kunnen aanvallers bijvoorbeeld servers overnemen of de private keys van de server stelen, waarmee versleuteld verkeer is te ontsleutelen. Daardoor kunnen aanvallers allerlei gevoelige gegevens stelen. Bij beveiligingslekken met de beoordeling high is dit ook mogelijk, maar kan het zijn dat misbruik lastiger is of alleen systemen met bepaalde configuraties raakt.

Exacte details over het beveiligingslek dat aanstaande dinsdag 21 april zal worden verholpen zijn nog niet gegeven, behalve dat OpenSSL 1.1.g tussen 15:00 en 19:00 uur Nederlandse tijd zal verschijnen.

 

bron: security.nl