Nowa luka w OpenSSL: Zdalne ataki DoS mogą zagrażać serwerom!
Nowa luka w OpenSSL: Zdalne ataki DoS mogą zagrażać serwerom!
W projekcie OpenSSL odkryto poważną lukę, która może prowadzić do zdalnych ataków Denial of Service (DoS). Luki oznaczone jako CVE-2021-3449 mają wysokie ryzyko i mogą być wykorzystane w domyślnych konfiguracjach serwerów TLS.
Główna luka, CVE-2021-3449, dotyczy sytuacji, w której serwer OpenSSL może ulec awarii, gdy otrzyma złośliwie skonstruowaną wiadomość renegocjacji ClientHello od klienta. To oznacza, że niezabezpieczone serwery TLSv1.2 są szczególnie narażone.
W przypadku pominięcia rozszerzenia signature_algorithms w renegocjacji, a obecności signature_algorithms_cert, dochodzi do dereferencji wskaźnika NULL, co prowadzi do awarii serwera i ataku DoS. Dlatego zaleca się, aby administratorzy natychmiast załatać swoje serwery.
Na szybko, w celu zabezpieczenia serwera, można wyłączyć TLSv1.2 i pozostawić tylko TLS 1.3, co minimalizuje ryzyko wystąpienia tej luki.
Na podstawie: Źródła
