戴尔、惠普和联想的设备使用过时的 OpenSSL 版本
Binarly 研究人员发现，戴尔、惠普和联想的设备仍在使用过时版本的 OpenSSL 加密库。 OpenSSL软件库允许通过计算机网络进行安全通信，能够有效防止窃听。OpenSSL包含开源的安全套接字协议（SSL）和传输层安全（TLS）协议，研究人员通过分析上述制造商使用的设备的固件图像时发现了问题所在。 专家们分析了作为任何UEFI固件所必要的核心框架之一EDKII，该框架在CryptoPkg组件中的OpenSSL库（OpensslLib）上有自己的子模块和包装器。EDK II 是一个现代化、功能丰富的跨平台固件开发环境，适用于 UEFI 和 UEFI 平台初始化 (PI) 规范。EDKII的主要存储库托管在Github上，并经常更新。但专家们在分析这些厂商的设备时，发现在其固件镜像中使用过时版本的OpenSSL：0.9.8zb、1.0.0a 和 1.0.2j，其中最新的 OpenSSL 版本早在2018 年就已发布。专家们甚至还在部分设备中发现了 更早的、来自2009 年发布的 0.9.8l 版本。 戴尔、惠普和联想部分设备中的 OpenSSL版本 Binarly Platform 在野外检测到的戴尔、惠普和联想设备中 不同OpenSSL 版本占比 Binarly 发布的报告表示，许多与安全相关的固件模块包含明显过时的 OpenSSL 版本。其中一些像 InfineonTpmUpdateDxe 包含的代码早在8年前就已成为易受攻击的“不安全代码”。 专家指出，同一个设备固件代码往往依赖不同版本的OpenSSL。 选择这种设计的原因是第三方代码的供应链依赖于其自己的代码库，而设备固件开发人员通常无法使用这些代码库，这通常会增加供应链的复杂性，带来潜在的安全风险。 转自 Freebuf，原文链接：https://www.freebuf.com/news/350909.html 封面来源于网络，如有侵权请联系删除
OpenSSL 修复了两个高危漏洞
Bleeping Computer 网站披露，OpenSSL 修补了其用于加密通信通道和 HTTPS 连接的开源密码库中两个高危漏洞。漏洞分别追踪为 CVE-2022-3602 和 CVE-2022-3786，主要影响 OpenSSL 3.0.0 及更高版本，现已在 OpenSSL 3.0.7 中得到解决。 据悉，CVE-2022-3602 是一个任意 4 字节堆栈缓冲区溢出漏洞，可能导致拒绝服务或远程代码执行。CVE-2022-3786 可以被攻击者通过恶意电子邮件地址利用，通过缓冲区溢出触发拒绝服务状态。 OpenSSL 团队表示，虽然目前没有证据表明这两个漏洞已经被利用，但鉴于其具有很高的危险性，希望受影响用户尽快安装更新升级补丁，以免遭受网络威胁。此外，OpenSSL 还提供了一些其它缓解措施，例如直到应用新补丁前，要求操作 TLS 服务器的管理员禁用 TLS 客户端认证。 CVE-2022-3602 漏洞危险指数下降 值得一提的是，OpenSSL 最初发布的漏洞警告促使了管理员立即采取行动缓解漏洞，但之后鉴于 CVE-2022-3602 已被降级为高度严重，况且它只影响 OpenSSL 3.0 及更高版本，另外与 OpenSSL 密码库早期版本相比，最近发布的版本也尚未大量部署到生产中使用的软件上，因此造成的实际影响可能很有限， 尽管一些安全专家和供应商将此漏洞的危险性等同于 Apache Log4J 日志库中的 Log4Shell 漏洞，但在Censys 在线发现的 1793000 多个主机中，只有大约 7000个暴露在互联网上的系统正在运行易受攻击的OpenSSL 版本，Shodan 也列出了大约 16000 个可公开访问的 OpenSSL 实例。 此外，云安全公司 Wiz.io 也表示，在分析了主要云环境（AWS、GCP、Azure、OCI和阿里巴巴云）中的部署后，发现只有 1.5% 的 OpenSSL 实例受到这一安全漏洞的影响。 流行 CSP 中存在漏洞的 OpenSSL 实例 最新的 OpenSSL 版本包含在多个流行的 Linux 发行版中，其中 Redhat Enterprise Linux 9、Ubuntu 22.04+、CentOS Stream9、Kali 2022.3、Debian 12 和 Fedora 36 被网络安全公司 Akamai标记为有漏洞，荷兰国家网络安全中心目前也正在确认一份受 CVE-2022-3602 漏洞影响的软件产品清单。 转自 Freebuf，原文链接：https://www.freebuf.com/news/348558.html 封面来源于网络，如有侵权请联系删除
OpenSSL 将修复第二个关键漏洞
Hackernews 编译，转载请注明出处： OpenSSL项目宣布将发布更新，以解决开源工具包中的一个关键漏洞。专家指出，这是自2016年9月以来在工具包中修补的首个关键漏洞。 “OpenSSL项目团队宣布即将发布的OpenSSL 3.0.7版本。该版本将于2022年11月1日星期二UTC 1300-1700之间发布。”公告中写道。“OpenSSL 3.0.7是一个安全修复版本，该版本中修复的最高级别问题是‘严重’。” 该严重漏洞仅影响3.0及更高版本。这是OpenSSL项目继2014年严重Heartbleed漏洞（CVE-2014-0160）之后解决的第二个关键漏洞。 3.0.7版本将于下周（11月1日）发布，维护人员将其定义为“安全修复版本”。 OpenSSL项目还宣布了即将发布的bug修复版本1.1.1s，该版本将于同一天发布。 消息来源：securityaffairs，译者：Shirley； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc ” 并附上原文
OpenSSL 1.1.0 修复高严重性漏洞 CVE-2017-3733
本周四，OpenSSL 开发团队修复了高严重性 DoS 漏洞（ CVE-2017-3733 ）。该漏洞是由红帽子 Joe Orton 于 1 月 31 日报道，并称该漏洞为“ Encrypt-Then-Mac 重新协商崩溃”漏洞。在重新协商握手期间，如果 Encrypt-Then-Mac 扩展协商不是在原来的握手过程中会导致服务崩溃（依赖于 OpenSSL 密码套件）。目前确定客户机和服务器都受影响的。 漏洞影响范围： OpenSSL 1.1.0 版本 ** OpenSSL version 1.0.2 版本不受影响 修复方案 将 OpenSSL 1.1.0 升级到最新版本 OpenSSL 1.1.0e 本文由 HackerNews.cc 翻译整理，封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接。
全球超过 199,500 网站仍未修复“心脏出血” OpenSSL 漏洞
据 Shodan 22 日一份数据报告显示，目前全球仍有超过 199,500 网站仍未修复 “心脏出血” OpenSSL 漏洞，或是源于许多组织没有正确修复漏洞所致。 2014 年 4 月 7 日，开源安全组件 OpenSSL 爆出高危漏洞（CVE-2014-0160），漏洞成因是 OpenSSLHeartbeat 模块存在一个 Bug，使攻击者可以构造一个特殊的数据包获得存在该漏洞的服务器长达 64KB 的内存数据，而这段数据中可能包含用户的用户名、密码、密钥等敏感信息，因此该漏洞获得了一个名副其实的名字“心脏出血（OpenSSLHeartbleed）”漏洞。 作为互联网史上最大漏洞之一，“心脏出血”漏洞影响了全球多达三分之二服务器的安全性，据 ZoomEye 2014 年监测结果显示全球约有 2,443,550 个 IP 受此漏洞影响。ZoomEye 团队在“心脏出血”漏洞爆发一周年之际，对全网 IP 进行了回归性普查发现，虽然受影响 IP 已经降低到了 1 年前的 14.6%，但还有较大量（377,221）的 IP 漏洞并未修复。 然而 Shadow 最新报告却表明，距漏洞爆发至今已过去两年零九个月，仍有几十万网站漏洞未被修复。 超过 199,500 网站易受攻击 Shodan 首席执行官 John Matherly 表示，由于未正确修复“心脏出血”漏洞，全球还有超过 199,500 个网站容易受到黑客攻击。报告指出目前受影响最大的国家仍是美国（41,332），其次是韩国（15,380）、中国（14,116）、德国（14,072）以及法国、俄罗斯等。可以想象若是近二十万网站漏洞都被利用，势必会造成更大规模的数据泄露事件。 如何正确修复心脏出血漏洞 修复“心脏出血”漏洞至少需要三个步骤： ① 及时更新：更新 OpenSSL 至最新版本，目前大部分机构都已完成了这一步； ② 创建新密钥：防止攻击者已通过漏洞窃取服务器密钥，或是进一步窃取机密数据； ③ 补发安全证书：防止攻击者继续利用漏洞损害公司或客户权益。 稿源：HackerNews.cc 翻译/整理，封面来源：百度搜索。 转载请注明“转自 HackerNews.cc ” 并附上原文链接，违者必究。