OpenSSL高危心脏出血漏洞

发布时间：2018/1/24 20:55:55 打印字号：大中小

发现时间

2014年4月

高危

OpenSSL的代码中没有对读长度进行检查，攻击者可以利用这个缺陷，在一个心跳请求中获取到服务器进程中最大为64KB的数据。通过发出多个这样的请求，攻击这就可以无限制地获取内存数据。服务器的进程中必然存在敏感信息：例如会话票证的密钥、TLS的会话密钥以及各类密码，攻击者就可以得到这些信息。

OpenSSL 1.0.1-1.0.1f

TLS协议有史以来遭遇的最严重的问题，也是TLS史上速度最快的漏洞修复。

第一步：打补丁

升级OpenSSL到最新版本或重新编译OpenSSL 1.0.1，配置OpenSSL以删除对心跳协议的支持。

$ ./config –DOPENSSL_NO_HEARTBEATS
$ make

第二步：泄漏信息清理

替换服务器的私钥，重新签发新证书并吊销旧证书；

如果使用了会话票证，替换会话票证的对称密钥；

服务器内存中其他密码的替换，例如用户密码，根据风险预测建议用户修改密码；例如数据库密码。