Auch mit den Korrekturen für die SSL-Schwachstellen erlaubt OpenSSL 0.9.6e immer noch Denial of Service-Angriffe.

Betroffene Systeme

• Systeme, die OpenSSL 0.9.6e bzw. gleichwertige Patches verwenden.

Einfallstor
SSL-Verbindungen

Auswirkung
Denial of Service

Typ der Verwundbarkeit
falsche Fehlerbehandlung

Gefahrenpotential
niedrig bis mittel
(Hinweise zur Einstufung des Gefahrenpotentials.)

Beschreibung
Bei der Behebung der Fehler im SSL-Code wurde recht radikal vorgegangen: Falls ungültige Daten über das Netz empfangen wurden, wurde nicht ein Fehlercode an die aufrufende Anwendung zurückgegeben, sondern die Anwendung gleich ganz beendet. Dadurch kann ein Angreifer einen Denial of Service-Angriff durchführen, insbesondere wenn die Anwendung nicht automatisch neu gestartet wird.

Die Auswirkungen sind jedoch sehr gering bei Anwendungen, die für jede Client-Verbindung einen eigenen Prozeß starten (also Apache 1.3 auf UNIX-Systemen und typische SMTP-, IMAP- und POP-Server). OpenSSH ist von der Problematik nicht betroffen, da das Update fúr die ASN.1-Verarbeitung bereits korrekte Fehlerbehandlung enthielt.

Einige Hersteller erwähnen zudem ein Problem bei der Prüfung auf Ganzzahlüberlauf in den ASN.1-Routinen. Beim Einsatz von GCC als Compiler (wie das z.B. unter GNU/Linux üblich ist) spielt diese Problematik aber keine Rolle: Auch wenn die OpenSSL-Quellen fehlerhaft sind, wird trotzdem der gewünschte Programmcode durch den Compiler erzeugt.

Gegenmaßnahmen

• Umstieg auf OpenSSL 0.9.6g. (Die Version 0.9.6g behebt gegenüber der Version 0.9.6f Kompilierungsprobleme.)
• Einspielen eines Hersteller-Patches.

Weitere Information zu diesem Thema

• Conectiva Linux Security Announcement CLA-2002:516

Weitere Artikel zu diesem Thema:

• [MS/OpenSSL] Schwachstelle in OpenSSL 0.9.6k unter Microsoft Windows (2003-11-05)
  In der erst kürzlich zur Behebung von diversen Problemen veröffentlichten Version OpenSSL 0.9.6k ist eine weitere Schwachstelle entdeckt worden, die dazu ausgenutzt werden kann, den OpenSSL-Dienst unter Microsoft Windows in einen unbenutzbaren Zustand zu bringen.
• [Generic/OpenSSL] Mehrere Schwachstellen in OpenSSL (2003-10-03)
  Eine Schwachstelle in den OpenSSL-Bibliotheken ermöglicht einem Angreifer die Ausführung beliebigen Programmcodes mit den Privilegien des benutzenden Prozesses, zwei weitere Schwachstellen können dazu führen, daß das SSL-System in einen unbenutzbaren Zustand gerät.
• [Generic/OpenSSL] Werkzeug zum Testen verwundbarer Systeme (2002-09-17)
  Das RUS-CERT hat ein Werkzeug entwickelt, mit dem sich Systeme ermitteln lassen, die verwundbare OpenSSL-Bibliotheken einsetzen.
• [Generic/OpenSSL] Wurm nutzt Schwachstellen in OpenSSL aus (2002-09-14)
  Es kursiert ein Wurm, der eine Schwachstelle in mod_ssl/OpenSSL zur Verbreitung ausnutzt.
• [Generic/OpenSSL] Fehler im Server- und Client-Code für SSL 2 und 3 (2002-07-30)
  In OpenSSL sind mehrere Schwachstellen im Programmcode zur Verarbeitung von SSL-Verbindungen (sowohl auf Client- als auch auf Server-Seite) entdeckt worden.

Hinweis
Die in diesem Text enthaltene Information wurde für die Mitglieder der Universität Stuttgart recherchiert und zusammengestellt. Die Universität Stuttgart übernimmt keinerlei Haftung für die Inhalte. Dieser Artikel darf ausschließlich in unveränderter Form und nur zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis veröffentlicht werden. Eine Veröffentlichung unter diesen Bedingungen an anderer Stelle ist ausdrücklich gestattet.

Copyright © 2022 RUS-CERT, Universität Stuttgart, https://cert.uni-stuttgart.de/