URL: https://www.opennet.ru/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID3
Нить номер: 111115
[ Назад ]
Исходное сообщение
"Уязвимость в LibreSSL, затрагивающая механизм проверки TLS-с..."
Отправлено opennews , 28-Апр-17 11:02 
В развиваемой проектом OpenBSD библиотеке LibreSSL выявлена (http://seclists.org/oss-sec/2017/q2/145) уязвимость (CVE-2017-8301 (https://security-tracker.debian.org/tracker/CVE-2017-8301)), приводящая к пропуску проверки сертификатов TLS в приложениях, использующих API отложенной проверки на основе регистрации callback-обработчика и функции SSL_get_verify_result. Из подверженных уязвимости приложений отмечаются http-сервер nginx (https://trac.nginx.org/nginx/ticket/1257) и IRC-сервер InspIRCd (https://github.com/inspircd/inspircd/blob/5366dd2abd8fdeecf4...). Уязвимость выявлена разработчиками дистрибутива Alpine Linux.

Проблема проявляется начиная с выпуска  LibreSSL (http://www.libressl.org/) 2.5.1 и присутствует в актуальном выпуске 2.5.3. Обновление с исправлением пока находится (https://github.com/libressl-portable/portable/issues/307#iss...) в процессе разработки. Подключение с некорректным сертификатом возможно только если callback-обработчик всегда возвращает значение 1 и следом результат верификации оценивается через вызов функции SSL_get_verify_result().
Проблема может затрагивать как серверы, к которым выполняется подключение по клиентским сертификатам, так и клиентское ПО, проверяющее сервер по серверному сертификату.

URL: http://seclists.org/oss-sec/2017/q2/145
Новость: https://www.opennet.ru/opennews/art.shtml?num=46468

Содержание
Сообщения в этом обсуждении
"Уязвимость в LibreSSL, затрагивающая механизм проверки TLS-с..."
Отправлено Аноним , 28-Апр-17 11:13 
вот читаешь такое и думаешь, что лучше: когда твой сервер вскроют через очередную дырень в очедном *ssl и сольют всю инфу к чертовой бабушке, или когда в случае отсутствие оного, хакер вася перехватит пароль через открытый вайфай у какого-нибудь пользователя.
в принципе, выбор очевиден (из 2 зол), если бы не гугл со своей идиотской политикой навязывания https. то бишь выбора-то по сути уже и нет :)
"Уязвимость в LibreSSL, затрагивающая механизм проверки TLS-с..."
Отправлено Онанимус , 28-Апр-17 11:22 
> то бишь выбора-то по сути уже и нет :)

Знаете, я все таки рад за пользователя Петю, потому как дырки в хSSL достаточно редки, а вот публичный вайфай вокруг нас. Так же не стоит забывать, что когда уважаемый Аноним зайдет на свой уютненький серверок через публичный вайфай, то админку у него и угонят (

"Уязвимость в LibreSSL, затрагивающая механизм проверки TLS-с..."
Отправлено Аноним , 28-Апр-17 11:27 
их чуть ли не каждый месяц находят. редки, да :)
ну а нормальный админ свою сетку через впн админит.
"Уязвимость в LibreSSL, затрагивающая механизм проверки TLS-с..."
Отправлено Аноним , 28-Апр-17 12:58 
А в VPN, в отличие от SSL, дыр не находят? Даже если это какой-нибудь OpenVPN, использующий ту же самую библиотеку?
"Уязвимость в LibreSSL, затрагивающая механизм проверки TLS-с..."
Отправлено cmp , 28-Апр-17 14:32 
через ssh вожно ВПНится, он в отличии от ssl пока держится
"Уязвимость в LibreSSL, затрагивающая механизм проверки TLS-с..."
Отправлено Аноним , 28-Апр-17 11:39 
Ничего не угонят. Изучаем принцип работы SSH.
"Уязвимость в LibreSSL, затрагивающая механизм проверки TLS-с..."
Отправлено Онанимус , 28-Апр-17 12:09 
> Ничего не угонят. Изучаем принцип работы SSH.

Вы об чем вообще? Я писал Анониму про админку форума ОпенНета, который Вы втыкаете.

"Уязвимость в LibreSSL, затрагивающая механизм проверки TLS-с..."
Отправлено Аноним , 28-Апр-17 12:52 
А чего у них тут с админкой? Альт Линукс потёк?
"Уязвимость в LibreSSL, затрагивающая механизм проверки TLS-с..."
Отправлено Аноним , 28-Апр-17 13:44 
> А чего у них тут с админкой? Альт Линукс потёк?

А причем тут Альт? Опеннет уже вдруг на пингвина перевели?


"Уязвимость в LibreSSL, затрагивающая механизм проверки TLS-с..."
Отправлено Аноним , 28-Апр-17 13:51 
> Опеннет уже вдруг на пингвина перевели?

С убунты?


"Уязвимость в LibreSSL, затрагивающая механизм проверки TLS-с..."
Отправлено Аноним , 28-Апр-17 15:55 
>> Опеннет уже вдруг на пингвина перевели?
> С убунты?

Приготовьте огнетушитель, присядьте, дышите глубоко и ровно ... нет, не с убунты. Еще годика полтора назад это была фря.

"Уязвимость в LibreSSL, затрагивающая механизм проверки TLS-с..."
Отправлено Аноним , 28-Апр-17 16:39 
А, да. Во Фре Сифилизиса нет, поэтому Фря может и полтора года стоять.
"Уязвимость в LibreSSL, затрагивающая механизм проверки TLS-с..."
Отправлено Аноним , 28-Апр-17 21:30 
> А, да. Во Фре Сифилизиса нет, поэтому Фря может и полтора года
> стоять.

Дышите глубуко, воспользуйтесь огнетушителем и попытайтесь более связно донести вашу мысль. Я верю в вас!


"Уязвимость в LibreSSL, затрагивающая механизм проверки TLS-с..."
Отправлено Sw00p aka Jerom , 28-Апр-17 14:38 
Тунель ссх пробросил и подключил сокс в браузере
"Уязвимость в LibreSSL, затрагивающая механизм проверки TLS-с..."
Отправлено тоже Аноним , 28-Апр-17 12:08 
Читайте внимательнее перед тем, как думать.
Эта "дырень" приводит только к тому, что сертификат не проверяется.
Так что защищенный SSL сайт при эксплуатации "дырени" просто-напросто ничем не отличается от не защищенного SSL сайта, а этот вариант вас почему-то устраивает.
"Уязвимость в LibreSSL, затрагивающая механизм проверки TLS-с..."
Отправлено камикадзе , 29-Апр-17 10:48 
этого мало? а ведь "проект" только-только начался!
"Уязвимость в LibreSSL, затрагивающая механизм проверки TLS-с..."
Отправлено б.б. , 29-Апр-17 14:42 
> этого мало? а ведь "проект" только-только начался!

LibreSSL != LibreSSL portable

"Уязвимость в LibreSSL, затрагивающая механизм проверки TLS-с..."
Отправлено пох , 29-Апр-17 19:59 
> этого мало? а ведь "проект" только-только начался!

э... проект начался пять лет назад, если мне память не изменяет.
(три если portable версию рассматривать как что-то отдельное, а не как libtoolize запущенный в скопированных в сторонку исходниках. Во всяком случае, у меня есть пакет, собранный летом 2014, и это не версия 0.0)

Вот что за все пять лет не было ни одной серьезной проблемы в форкнутой версии openssl, не унаследованной этим продуктом артели "напрасный труд" - это да, внушаить. (в более новых были, и это как раз нормально - они-то развиваются, а не "выбрасывают ненужное")

"Уязвимость в LibreSSL, затрагивающая механизм проверки TLS-с..."
Отправлено типс , 01-Май-17 19:15 
что за... при чем тут механизм проверки сертификата? каким интересно образом эта уязвимость позволяет слить инфу?
"Уязвимость в LibreSSL, затрагивающая механизм проверки TLS-с..."
Отправлено пох , 28-Апр-17 13:36 
> Уязвимость выявлена разработчиками дистрибутива Alpine Linux.

а альпайновцы-то, оказывается, не лохи. И неленивые, в отличие от некоторых.

(впрочем, их нелень им окупится интересом публики)

"Уязвимость в LibreSSL, затрагивающая механизм проверки TLS-с..."
Отправлено б.б. , 29-Апр-17 14:41 
неудивительно - apline linux, это linux, основанный на культуре OpenBSD, с такими же привычками, понятиями и приоритетами
"Уязвимость в LibreSSL, затрагивающая механизм проверки TLS-с..."
Отправлено пох , 29-Апр-17 19:50 
> с такими же привычками, понятиями и приоритетами

было б "с такими же" - нужно было сделать форк форка и насажать в нем своих, уникальных, грабель (не забыв поливать всходы абсолютно всех штатных).
Видимо, все же, что-то отличается, в лучшую сторону.

"Уязвимость в LibreSSL, затрагивающая механизм проверки TLS-с..."
Отправлено бедный буратино , 29-Апр-17 03:12 
оно затрагивает только portable версию, или родную тоже?
"Уязвимость в LibreSSL, затрагивающая механизм проверки TLS-с..."
Отправлено ssh , 29-Апр-17 03:20 
В http://www.openbsd.org/errata61.html пока тишина.
"Уязвимость в LibreSSL, затрагивающая механизм проверки TLS-с..."
Отправлено б.б. , 29-Апр-17 10:25 
я про это и говорю
"Уязвимость в LibreSSL, затрагивающая механизм проверки TLS-с..."
Отправлено пох , 02-Май-17 11:49 
> оно затрагивает только portable версию, или родную тоже?

-/* $OpenBSD: x509_vfy.c,v 1.57 2017/01/20 00:37:40 beck Exp $ */
+/* $OpenBSD: x509_vfy.c,v 1.58 2017/01/21 01:07:25 beck Exp $ */

собственно, было бы исключительно странно увидеть в portable хоть что-то, меняющее логику работы, не позаимствованное из первоисточника.

ну а что они там все еще спят, говорит все о том же - не надо это использовать, не надо.

"Уязвимость в LibreSSL, затрагивающая механизм проверки TLS-с..."
Отправлено Аноним , 29-Апр-17 15:42 
Уязвимость в форке сделанном, чтобы избавиться от уязвимостей. Эпично!
"Уязвимость в LibreSSL, затрагивающая механизм проверки TLS-с..."
Отправлено SoulMaster , 04-Май-17 14:32 
жаль тут нет лайков
"Уязвимость в LibreSSL, затрагивающая механизм проверки TLS-с..."
Отправлено SoulMaster , 04-Май-17 14:33 
> жаль тут нет лайков

а нет, есть, затупил