Точнее, основная проблема заключается в сочетании поведения SSL/TLS и работающего поверх него прикладного протокола HTTP. В спецификацию TLS заложена возможность повторной установки сессии любой стороной, что и позволяет злоумышленнику вклиниться в процесс установки соединения с сервером: задержать исходный пакет, установить соединение самостоятельно, после чего пропустить исходный пакет, что будет воспринято сервером как вполне легальное повторное соединение. На этом этапе серверу по-хорошему надо бы перезапросить сертификат, но прикладному уровню не очень интересно, что происходит там внизу. Таким образом атакующий оказывается в состоянии подсунуть в защищенную сессию некий дополнительный код (например, заголовки или значения каких-то полей, кук, или просто врезать в начало http-запроса команду GET с произвольным путем), который будет воспринят сервером как исходящий от легального пользователя.

Уязвимость была обнаружена в августе, в конце сентября основные производители SSL решений создали рабочую группу, задачей которой была выработка единого подхода к решению проблемы и разработка рекомендаций по снижению эффекта от уязвимости. В настоящее время разработчики OpenSSL и GNU TLS уже приступили к тестированию патчей, другие производители находятся на разных этапах работы.

Источник: The Register

теги: ssl, retro, уязвимости  |  предложить новость  |  обсудить  |  все отзывы (0)

[2943]

аналогичные материалы

Перетягивание флага // dl // 15.02.10 00:39 Adobe потеряла патч для Flash на 16 месяцев // dl // 09.02.10 20:32 Внеочередной патч IE // dl // 21.01.10 23:27 Microsoft подтвердила наличие 17-летней уязвимости во всех 32-битных системах // dl // 21.01.10 19:29 Массовая атака с помощью pdf-уязвимости // dl // 14.01.10 23:45 Adobe пообещала залатать Акробат через месяц // dl // 16.12.09 22:47 Удаленное замораживание Window 7 и Server 2008 R2 // dl // 12.11.09 16:55 Кража кук через поддомены - еще один привет из прошлого // dl // 04.11.09 11:17 Пара дюжин исправлений в акробатах // dl // 14.10.09 01:18 Критическая уязвимость в ядре FreeBSD // dl // 16.09.09 14:48

последние новостиBugTraq.Ru: последние новости

Мартовские обновления от MS // dl // 09.03.10 23:16 Гуглехакеры могли получить доступ к исходникам атакованных компаний // dl // 04.03.10 09:23 torrents.ru/rutracker.org опять недоступен... и вновь доступен // dl // 19.02.10 15:05 Руткитно-патчевые проблемы // dl // 18.02.10 21:57 RU-CENTER приостановил делегирование torrents.ru // dl // 18.02.10 18:02 Перетягивание флага // dl // 15.02.10 00:39 Adobe выпустил патч для Flash, на подходе Reader // dl // 12.02.10 16:45 MS отозвала патч 17-летней уязвимости // dl // 12.02.10 13:27 Февральские обновления от MS // dl // 09.02.10 23:34 Adobe потеряла патч для Flash на 16 месяцев // dl // 09.02.10 20:32