Patch ล่าสุดของ OpenSSL ออกมาแล้ว! ควรอัพเดตด่วน!

หลังจากที่ OpenSSL ได้ออกมาประกาศให้เราเตรียม Patch อุดอีก 2 ช่องโหว่กันไปเมื่อสองวันก่อน วันนี้ OpenSSL ปล่อย Patch ออกมาเรียบร้อยแล้วครับ โดยช่องโหว่ที่อุดในครั้งนี้มีด้วยกันสองระดับความร้ายแรง

openssl_banner

สำหรับช่องโหว่ที่มีความร้ายแรงสูงนั้นอยู่ใน OpenSSL 1.0.2 ที่รองรับการสร้าง DH Parameter แบบ X9.42 ซึ่งอาจไม่ปลอดภัยและมีการใช้ซ้ำ จนนำไปสู่การเปิดช่องให้ผู้โจมตีสามารถค้นหา Private DH Exponent ที่ TLS Server ใช้งานได้ แต่ทั้งนี้ระบบที่ทำการตั้งค่าเปิดการใช้งาน SSL_OP_SINGLE_DH_USE สำหรับ Ephemeral DH (DHE) ใน TLS ก็จะไม่สามารถถูกโจมตีได้จากช่องโหว่นี้ ซึ่งใน Patch ล่าสุดก็ได้มีการแก้ให้เปิดค่านี้เอาไว้เป็น Default แล้ว และอาจส่งผลกระทบต่อประสิทธิภาพของระบบได้ แต่ใน OpenSSL 1.0.1 จะไม่ได้รับผลกระทบนี้เพราะไม่รองรับ X9.42 อยู่แล้ว

ส่วนอีกช่องโหว่ที่มีความร้ายแรงต่ำ แต่ส่งผลกระทบกับทั้ง OpenSSL 1.0.2 และ 1.0.1 ก็คือช่องโหว่ที่เปิดให้สามารถทำการ Negotiate ด้วย SSLv2 cipher ได้ถึงแม้จะปิดการตั้งค่าเอาไว้บนฝั่ง Server ซึ่ง Patch ล่าสุดก็ได้แก้ไขปัญหานี้แล้ว

นอกจากนี้ก็มีการป้องกันปัญหาการโจมตีแบบ Logjam ที่สามารถทำการโจมตีแบบ Man-in-the-Middle เพื่อ Downgrade การเชื่อมต่อ TLS ให้ไปใช้ Key ขนาด 512-bit แบบ export-grade แทน ซึ่งใน Patch ล่าสุดนี้ได้มีการแก้ปัญหาให้ทำการปฎิเสธการทำ Handshake ด้วย DH Parameter ที่มีความยาวน้อยกว่า 768-bit ไปเลย

Patch ล่าสุดนี้คือ 1.0.2f และ 1.0.1r ใครยังไม่อัพก็รีบไปอัพกันนะครับ

ที่มา: https://threatpost.com/openssl-patches-serious-flaw-that-puts-popular-applications-at-risk/116063/


About techtalkthai

ทีมงาน TechTalkThai เป็นกลุ่มบุคคลที่ทำงานในสาย Enterprise IT ที่มีความเชี่ยวชาญทางด้าน Network, Security, Server, Storage, Operating System และ Virtualization มารวมตัวกันเพื่ออัพเดตข่าวสารทางด้าน Enterprise IT ให้แก่ชาว IT ในไทยโดยเฉพาะ

Check Also

ผู้เชี่ยวชาญเผยเซิร์ฟเวอร์ VNC กว่า 9,000 ตัวออนไลน์โดยไร้รหัสผ่าน

ชาวแอดมินทั้งหลายคงรู้จักการใช้ VNC เพื่อรีโมตไปยังเครื่องภายในกันดีอยู่แล้ว แต่สิ่งที่น่ากังวลคือผู้เชี่ยวชาญจาก Cyble ได้สแกนเซิร์ฟเวอร์เหล่านี้ที่ออนไลน์อยู่ในอินเทอร์เน็ตและพบว่ามีเครื่องกว่า 9,000 ตัวที่ไร้การป้องกันด้วยรหัสผ่าน

Microsoft มอบเงินรางวัล 13.7 ล้านเหรียญสหรัฐฯ ให้กับ Bug Bounty Program

ในรอบปีที่ผ่านมา Microsoft มอบเงินรางวัลกว่า 13.7 ล้านเหรียญสหรัฐฯ ให้กับนักวิจัยจำนวน 335 คน ผ่าน Microsoft Bug Bounty Programs