Deutschland: Schwachstelle in OpenSSL ermöglicht DoS und Datenexfiltration
Der CERT-Bund warnt in der Sicherheitsberatung WID-SEC-2024-1469 vor einer Schwachstelle in der Kryptobibliothek OpenSSL, die es einem entfernten, authentifizierten Angreifer erlaubt, einen Denial-of-Service-Angriff zu starten und vertrauliche Informationen offenzulegen.
Technische Details
Die Lücke betrifft die Verarbeitung von TLS-Nachrichten und kann durch speziell gestaltete Pakete ausgenutzt werden, sobald der Angreifer über gültige Anmeldeinformationen verfügt. Der fehlerhafte Code führt zu einem Speicherüberlauf, der sowohl die Verfügbarkeit des Dienstes beeinträchtigt als auch unverschlüsselte Daten preisgeben kann.
Auswirkungen
Ein erfolgreicher Angriff kann die betroffenen Dienste zum Absturz bringen und gleichzeitig sensible Daten wie Schlüsselmaterial oder Session-Informationen an den Angreifer übermitteln. Die Kombination aus Verfügbarkeitseinschränkung und Informationsverlust macht die Schwachstelle besonders kritisch für serverbasierte Anwendungen.
Betroffene Versionen
Laut der Beratung sind alle OpenSSL-Versionen betroffen, die zum Zeitpunkt der Veröffentlichung von WID-SEC-2024-1469 noch unterstützt werden. Die genauen Versionsbereiche werden im Originaldokument detailliert aufgeführt.
Handlungsempfehlungen
Der CERT-Bund empfiehlt allen Betreibern, unverzüglich die von den OpenSSL-Entwicklern bereitgestellten Sicherheitspatches zu installieren und die Systeme auf die aktuelle Version zu aktualisieren. Zusätzlich sollten Administratoren die Logfiles auf ungewöhnliche Zugriffsmuster prüfen und betroffene Dienste neu starten, um potenzielle Exploits zu beenden.
Weiterführende Informationen
Weitere Details, einschließlich konkreter Patch-Links und technischer Anleitungen, stehen in der vollständigen Sicherheitsberatung auf der Website des CERT-Bund zur Verfügung. Bei Fragen können betroffene Unternehmen den CERT-Bund direkt kontaktieren.
Dieser Bericht basiert auf Informationen von CERT-Bund, lizenziert unter Amtliches Werk gem. § 5 UrhG (Deutschland).
Ende der Uebertragung