Neue OpenSSL-Lücken mit Online-Diensten und Testscript überprüfen

Für die Anfang Juni veröffentlichten neuen OpenSSL-Lücken gibt es mittlerweile Online-Dienste und ein Testscript, mit denen man öffentlich erreichbare Server testen kann, darauf weist Markus Manzke von DiWiSH-Mitglied MARE system hin.

Die OpenSSL-Foundation hat ein Gutachten mit Hinweis auf mehrere schwere Lücken veröffentlicht:

• SSL/TLS MITM vulnerability (CVE-2014-0224)
• DTLS recursion flaw (CVE-2014-0221)
• DTLS invalid fragment vulnerability (CVE-2014-0195)
• SSL_MODE_RELEASE_BUFFERS NULL pointer dereference (CVE-2014-0198)
• SSL_MODE_RELEASE_BUFFERS session injection or denial of service (CVE-2010-5298)
• Anonymous ECDH denial of service (CVE-2014-3470)

Die ersten drei Lücken sind dabei schwerwiegend; "so lässt sich die MITM-Lücke dazu ausnutzen, TLS-Verbindungen einfach zu übernehmen, wenn sowohl Server als auch Client von der Lücke betroffen sind", so Markus Manzke. Bei CVE-2014-0221 kann es zu einem Buffer-Overrun und schlimmstenfalls zu Remote Code Execution auf dem Server kommen, der Fehler CVE-2014-0195 kann zu einem DOS des betroffenen Servers führen.

Updates

• Update 2: Online-Tests (8ack, NCC-Group)
• Update 1: POC/Testscript für CVE-2014-0224 SSL/TLS MITM vulnerability

Updates sind also verfügbar. Die OpenSSL-Entwickler haben die Distros (bis auf OpenBSD) diesmal im Vorfeld informiert und Patches bereitgestellt.

POCs und Tests

Online:

• 8ack.de/scan/ssl (by 8ack.de)
• ccsbug.exposed (by NCCGroup)
• https://dev.ssllabs.com/ (by SSLLabs)
  

Die Tripwire-Entwickler haben ein Testscript zur Verfügung gestellt, um Server auf die MITM-Lücke (SSL/TLS MITM vulnerability (CVE-2014-0224)) zu testen. Dieses Script ist auch über die 8ack-Tools verfügbar. Für Offline-Tests stehen Scripte unter TestSSL.sh (https://testssl.sh/) zur Verfügung, mit denen Tests auch gegen Mail- und interne Server von der Konsole aus möglich sind.

Weitere Informationen finden Sie unter https://8ack.de/bulletins/1402041891.

Kontakt

Markus Manzke
mare system
Werftbahnstraße 8
24143 Kiel
E-Mail: mm@mare-system.de
Web: www.mare-system.de