พบช่องโหว่ DoS ความรุนแรงสูงบน OpenSSL แนะผู้ใช้รีบอัปเดตแพทช์

OpenSSL ประกาศออกแพทช์อุดช่องโหว่หลายรายการบน Cryptographic Code Library ของตน ซึ่งหนึ่งในนั้นคือช่องโหว่ DoS ระดับความรุนแรงสูง

ช่องโหว่ DoS นี้มีรหัส CVE-2016-6304 ซึ่งช่วยให้แฮ็คเกอร์สามารถส่ง OCSP Status Request Extesion ขนาดใหญ่ไปยังเซิร์ฟเวอร์เป้าหมายระหว่างดำเนินการ Connection Negotiations ได้ ส่งผลให้สามารถโจมตีแบบ DoS เพื่อก่อให้เกิด Memory Exhaustion ได้

Credit: ShutterStock.com
Credit: ShutterStock.com

OCSP หรือ Online Certificate Status Protocol เป็นโปรโตคอลที่ถูกออกแบบมาเพื่อทำการยืนยันและรับสถานะการถอดถอน Digital Certificate ที่แนบมากับเว็บไซต์ ซึ่งเว็บเบราเซอร์สมัยใหม่ในปัจจุบันรองรับโปรโตคอลดังกล่าวทั้งหมด OCSP แบ่งการทำงานเป็นฝั่ง Client และ Server เมื่อแอพพลิเคชันหรือเว็บเซิร์ฟเวอร์ต้องการยืนยัน SSL Certificate ฝั่ง Client จะทำการส่ง Request ไปยัง Online Responder ผ่านทางโปรโตคอล HTTP และฝั่ง Server จะส่งสถานะของ Certificate กลับมาให้ว่ายัง Valid อยู่หรือไม่

Shi Lei นักวิจัยด้านความมั่นคงปลอดภัยจาก Qihoo 360 ระบุว่า ช่องโหว่ DoS นี้ส่งผลกระทบต่อทุกเซิร์ฟเวอร์ที่มีการตั้งค่า OpenSSL ดั้งเดิมจากโรงงาน ต่อให้เซิร์ฟเวอร์เหล่านั้นจะไม่รองรับโปรโตคอล OCSP ก็ตาม

“แฮ็คเกอร์สามารถใช้ TLS extension “TLSEXT_TYPE_status_request” และทำการเติม OCSP ID ด้วยการ Renegotiate Connections อย่างต่อเนื่อง … ซึ่งทางทฤษฎีแล้ว แฮ็คเกอร์สามารถ Renegotiate กับเซิร์ฟเวอร์ได้เรื่อยๆ ส่งผลให้เกิดการใช้งาน Memory เพิ่มขึ้นที่ละ 64K ไปเรื่อยๆ อย่างไม่มีที่สิ้นสุด” — Shi Lei อธิบาย

ช่องโหว่ DoS นี้ส่งผลกระทบ OpenSSL เวอร์ชัน 1.0.1, 1.0.2 และ 1.1.0 แนะนำให้ผู้ใช้อัปเดตเป็นเวอร์ชัน 1.0.1u, 1.0.2i และ 1.1.0a แทน หรือในกรณีที่ยังไม่สามารถอัปเดตแพทช์ได้ ให้ลดความเสียหายลงด้วยการรันคำสั่ง “no-ocsp”

นอกจากนี้ยังมีอีกช่องโหว่ DoS ความรุนแรงระดับปานกลางอีกหนึ่งรายการ คือ CVE-2016-6305 และช่องโหว่ระดับความรุนแรงต่ำอีก 12 รายการที่ถูกแก้ไขด้วยแพทช์เวอร์ชันล่าสุด

รายละเอียดเพิ่มเติม: https://www.openssl.org/news/secadv/20160922.txt

ที่มา: http://thehackernews.com/2016/09/openssl-dos-attack.html

About techtalkthai

ทีมงาน TechTalkThai เป็นกลุ่มบุคคลที่ทำงานในสาย Enterprise IT ที่มีความเชี่ยวชาญทางด้าน Network, Security, Server, Storage, Operating System และ Virtualization มารวมตัวกันเพื่ออัพเดตข่าวสารทางด้าน Enterprise IT ให้แก่ชาว IT ในไทยโดยเฉพาะ

Check Also

[รีวิว] ชวนลอง TP-Link เปิดใช้งานฟรี Omada Cloud Controller

ที่ผ่านมาเมื่อมีอุปกรณ์ในเครือข่ายเพิ่มขึ้นธุรกิจหรือผู้ใช้งานมักเริ่มมองหาการบริหารจัดการแบบศูนย์กลาง ซึ่งในอดีตแบรนด์ต่างๆมักพูดถึงเรื่องฮาร์ดแวร์สำหรับหน้าที่นั้น แต่ในปัจจุบัน Cloud-based Management คือทางเลือกที่ถูกนำเสนอมากขึ้น แต่บ่อยครั้งที่ทางเลือกมักมาพร้อมกับค่าใช้จ่ายรายเดือนหรือรายปี ซึ่งในบางกรณีอาจสูงจนไม่คุ้มค่ากับขนาดธุรกิจที่มีการใช้งานไม่ซับซ้อน ในวันนี้เป็นโอกาสของลูกค้าผู้ใช้งาน TP-Link ที่ได้เปิด Cloud Controller ให้ใช้งานได้ฟรีภายใต้ License …

กลยุทธ์รับมือภัยคุกคามไซเบอร์: เสริมเกราะป้องกันให้องค์กรของคุณแข็งแกร่งยิ่งขึ้น [Guest Post]

ในยุคดิจิทัลที่ทุกอย่างเชื่อมต่อกันผ่านอินเทอร์เน็ต ภัยคุกคามทางไซเบอร์กลายเป็นปัญหาที่องค์กรทุกขนาดต้องเผชิญ การโจมตีทางไซเบอร์ไม่เพียงแต่ส่งผลกระทบต่อข้อมูลสำคัญขององค์กรเท่านั้น แต่ยังอาจทำให้เกิดความเสียหายทางการเงินและชื่อเสียงอีกด้วย ดังนั้นการสร้างระบบความปลอดภัยทางไซเบอร์ที่แข็งแกร่งจึงเป็นสิ่งจำเป็นอย่างยิ่ง