รวมผลกระทบบั๊ค Heartbleed กับผลิตภัณฑ์ยี่ห้อต่างๆ

เนื่องจากข่าวเกี่ยวกับช่องโหว่ Heartbleed ค่อนข้างมาแรงในช่วงวันหยุดสงกรานต์นี้ ซึ่งเป็นไปได้สูงมากที่หลายคนจะต้องเตรียมเริ่มงานใหม่ที่บริษัทด้วยการจัดการปัญหาดังกล่าวกับเครื่องเซิฟเวอร์และอุปกรณ์อื่นๆที่ใช้งานให้รอดพ้นจาก Heartbleed ทางทีมงาน TechTalkThai จึงรวบรวมข้อมูลผลิตภัณฑ์ของ Vendor ต่างๆที่ได้รับ และไม่ได้รับผลกระทบจากบั๊ค Heartbleed มาเผยแพร่ให้กับทุกๆคน เพื่อให้ง่ายต่อการค้นหา และแก้ไขปัญหาครับ

Vendors

• A10 Networks – https://www.a10networks.com/vadc/index.php/a10-products-not-vulnerable-to-openssl-cve-2014-0160-heartbleed/
• Array Networks – http://www.arraynetworks.com/press-release-array-networks-unaffected-by-openssl-heartbleed-vulnerability.html
• Aruba Networks – http://www.arubanetworks.com/support/alerts/aid-040814.asc
• Barracuda – https://www.barracuda.com/blogs/pmblog?bid=2279#.U049ReaSwSs
• Blue Coat – http://kb.bluecoat.com/index?page=content&id=SA79
• CheckPoint – https://supportcenter.checkpoint.com/supportcenter/portal?eventSubmit_doGoviewsolutiondetails=&solutionid=sk100173
• Cisco – http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20140409-heartbleed
• Citrix – http://support.citrix.com/article/CTX140605
• Dell SonicWall – https://www.fuzeqna.com/sonicwallkb/ext/kbdetail.aspx?kbid=11180
• F5 Networks – http://support.f5.com/kb/en-us/solutions/public/15000/100/sol15159.html
• FireEye – http://www.fireeye.com/resources/pdfs/support-notices/fireeye-statement-about-openssl-heartbleed-vulnerability-cve-2014-0160.pdf
• Fortinet – http://www.fortiguard.com/advisory/FG-IR-14-011/
• HP Networking – http://h17007.www1.hp.com/docs/advisories/HPNetworkingSecurityAdvisory-OpenSSL-HeartbleedVulnerability.pdf
• IBM WebSphere – http://www-01.ibm.com/support/docview.wss?uid=swg21669774&myns=swgws&mynp=OCSSEQTP&mync=E
• Juniper Networks – http://kb.juniper.net/InfoCenter/index?page=content&id=JSA10623
• McAfee – https://kc.mcafee.com/corporate/index?page=content&id=SB10071
• Novell – http://support.novell.com/security/cve/CVE-2014-0160.html 
• OpenSSL – https://www.openssl.org/news/secadv_20140407.txt
• OpenVPN – https://community.openvpn.net/openvpn/wiki/heartbleed
• Palo Alto – http://researchcenter.paloaltonetworks.com/2014/04/palo-alto-networks-addresses-heartbleed-vulnerability-cve-2014-0160/
• Radware – http://kb.radware.com/questions/3450/Security+Advisory%3A+Vulnerability+OpenSSL+CVE-2014-0160
• Riverbed – https://supportkb.riverbed.com/support/index?page=content&id=S23635
• Ruckus – http://seclists.org/bugtraq/2014/Apr/84
• Sophos – http://www.sophos.com/en-us/support/knowledgebase/120854.aspx
• Sparklabs / Viscosity OpenVPN client – https://www.sparklabs.com/viscosity/releasenotes/
• Symantec – http://www.symantec.com/outbreak/?id=heartbleed
• Trend Micro – http://esupport.trendmicro.com/solution/en-US/1103084.aspx
• Viscosity – https://www.sparklabs.com/blog/
• VMware – http://kb.vmware.com/selfservice/microsites/search.do?language=en_US&cmd=displayKC&externalId=2076225
• Watchguard – http://watchguardsecuritycenter.com/2014/04/08/the-heartbleed-openssl-vulnerability-patch-openssl-asap/
• Websense – http://www.websense.com/content/support/library/ni/shared/security-alerts/openssl-vul-2014.pdf

Operating Systems

• Debian – https://lists.debian.org/E1WXHDi-0007bY-NH@master.debian.org
• Gentoo Linux – http://www.gentoo.org/security/en/glsa/glsa-201404-07.xml
• OpenBSD – http://ftp.openbsd.org/pub/OpenBSD/patches/5.4/common/007_openssl.patch
• RedHat – https://access.redhat.com/security/cve/CVE-2014-0160
• Slackware – http://www.slackware.com/security/viewer.php?l=slackware-security&y=2014&m=slackware-security.533622
• Ubuntu – http://www.ubuntu.com/usn/usn-2165-1/

เครื่องมือสำหรับตรวจสอบช่องโหว่ Heartbleed ฟรี

• McAfee – http://www.mcafee.com/heartbleed
• Filippo Valsorda – https://filippo.io/Heartbleed/

Heartbleed คืออะไร ?

Heartbleed เป็นบั๊คของ Software Library สำหรับการเข้ารหัสของ OpenSSL ซึ่งถูกพัฒนาโดยใช้โปรโตคอลการเข้ารหัสแบบ SSL/TLS ในการป้องกันนโยบายส่วนบุคคล (Privacy) ระหว่างติดต่อสื่อสารบนอินเตอร์เน็ต OpenSSL ถูกใช้ในหลายเว็บไซต์ รวมไปถึงแอพพลิเคชันอื่นๆ เช่น อีเมลล์, โปรแกรมแชท และ VPN

ช่องโหว่ Heartbleed ทำให้แฮ็คเกอร์สามารถอ่านหน่วยความจำของระบบที่ใช้ OpenSSL เวอร์ชัน 1.0.1 ถึง 1.0.1f โดยสามารถเข้าถึง ชื่อผู้ใช้, รหัสผ่าน หรือแม้แต่ Key ในการเข้ารหัส SSL ของเซิฟเวอร์ ส่งผลให้แฮ็คเกอร์สามารถแอบดูข้อมูลการสื่อสารระหว่างผู้ใช้งานและเซิฟเวอร์เพื่อนำไปใช้โจมตีระบบในอนาคตได้