OpenSSL HollowByte: 11 bajtova može zadržati memoriju servera i dovesti do DoS

Kolege, želim da skrenem pažnju na vest iz oblasti sajber bezbednosti i TLS-a: u OpenSSL-u je otkriven HollowByte.

Izdvajam nekoliko važnih činjenica:
• 11 bajtova u TLS zahtevu mogu naterati server da alocira do 131 KB memorije.
• Na sistemima sa glibc-om ta memorija može ostati zauzeta do ponovnog pokretanja procesa.
• Ispravka je već dostupna u izdanjima 4.0.1, 3.6.3, 3.5.7, 3.4.6 i 3.0.21 od 9. juna.
• Pri tome nema CVE, advisory-ja ni napomene u changelog-u.

Zašto je ovo važno: standardna kontrola konekcija možda neće pomoći, a ažuriranje i restart su sada kritični.

Da li ste proverili koje verzije OpenSSL-a se koriste u Vašoj infrastrukturi?

#sajberbezbednost #OpenSSL #TLS #Ranjivost