30.09.2003 15:55
Alert! Sicherheitslöcher in OpenSSL
In einem Security Advisory beschreibt das britische Infrastructure Security Coordination Centre (NISCC) drei Fehler in der Open-Source-Verschlüsselungsbibliothek OpenSSL. Bei der SSL/TLS-Verbindungsaufnahme werden zur Authentifizierung Zertifikate ausgetauscht. Diese Zertifikate sind nach der Abstract Syntax Notation (ASN.1) aufgebaut und enthalten unter anderem die Namen des Austellers (Issuer) und der Eigentümers (Common Name, CN). Manipuliert ein Angreifer bestimmte ASN.1-Elemente, kann er damit den Dienst zum Absturz bringen oder beliebigen Code auf den Stack schreiben und ausführen. Ein Exploit ist derzeit noch nicht bekannt. Betroffen sind alle OpenSSL-Versionen bis einschließlich 0.9.6j und 0.9.7b. Außer bei Web-Servern kommt SSL auch zur Sicherung von IMAP, SMTP und anderen Protokollen zum Einsatz, die von Haus aus keine starke Authentifizierung beziehungsweise Verschlüsselung bieten.
Die OpenSSL-Versionen 0.9.7c und 0.9.6k sollen das Problem beheben, sie stehen auf dem offiziellen FTP-Server von OpenSSL zur Verfügung; die Mirror-FTPs sollten in Kürze ebenfalls die aktuellen Versionen bereitstellen. Red Hat und Apple haben ebenfalls bereits reagiert und stellen aktualisierte Pakete bereit.
Siehe dazu auch:
- Security Advisory von OpenSSL
- Security Advisory des NISCC
- Mirror-FTPs von OpenSSL
Unsere Entdeckung, dass via Skype verschickte URLs von Microsoft besucht werden, hat für einigen Aufruhr gesorgt. Mittlerweile liegen etwas mehr Informationen dazu auf dem Tisch. 
Die aktuelle BKA-Trojaner sperrt nicht nur den Rechner, sondern legt auch Bilder mit Kinderpornografie auf dem System ab. Mit Desinfec't kann man diesen Unrat aufspüren und beseitigen. 
Der Krypto-Experte Karsten Nohl kritisiert die Absenkung des Schutzniveaus für Steuer-, Sozial- und Gerichtsdaten im Rahmen der gesetzlichen Anpassungen für De-Mail. 
Ganze zwölf Sicherheitslücken soll die neue Quicktime-Version für Windows beseitigen - allesamt kritischer Natur. 
Wer verhindern will, dass Nutzer auf fremde Kalender zugreifen oder eigenen PHP-Code in den Server einschleusen, sollte baldmöglichst auf eine der aktuellen Versionen umsteigen. 
