超级军网[ZT]OpenSSL 发现致命漏洞，三分之二互联网沦陷
来源：百度文库 编辑：超级军网 时间：2024/04/30 18:10:09
http://www.oschina.net/news/50580/openssl-fatal-hole
由于互联网基础安全协议OpenSSL的漏洞存在时间较长，波及范围广（超过三分之二互联网站受到影响），攻击简便且不会留下痕迹，其对全球互联网尤其是网络金融和电子商务行业的冲击将难以估量。
研究者近日在互联网安全协议OpenSSL v1.0.1到1.0.1f的密码算法库中发现了一个非常严重bug（CVE-2014-0160），该bug允许攻击者读取存在bug的系统的64kb处理内存，暴露加密流量的密钥，用户的名字和密码，以及访问的内容。
OpenSSL是Apache和nginx网络服务器的默认安全协议，此外大量操作系统、电子邮件和即时通讯系统也采用OpenSSL加密用户数据 通讯。而此次发现的bug已经存在两年之久，这意味着攻击者可以利用该bug获取大量互联网服务器与用户之间的数字证书私钥，从而获取用户账户密码等敏感 数据。由于攻击者不会在服务器日志中留下痕迹，因此网站系统管理员将无法得知系统漏洞是否已经被黑客利用，也无从得知用户数据和账号是否已经被黑客扫描获 取并用于未来的网络黑市交易。
据Ars报道，超过三分之二的互联网服务器使用存在漏洞的OpenSSL版本来保护用户账户密码、网银账号等敏感数据。由于漏洞存在时间较长，攻击简便且不会留下痕迹，此次发现的漏洞的影响范围，以及对互联网尤其是网络金融和电子商务行业的冲击将难以估量。
据solidot报道，OpenSSL已经发布了1.0.1g修正bug，Debian发行版也在半小时修复了bug，Fedora发布了一个权宜的修正方案。 该bug是在2011年引入到OpenSSL中，使用OpenSSL 0.9.8的发行版不受影响，但Debian Wheezy、Ubuntu 12.04.4、 Centos 6.5、Fedora 18、SuSE 12.2、OpenBSD 5.4、FreeBSD 8.4和NetBSD 5.0.2之后的版本都受到影响。如果你运行存在该bug的系统，那么最好废除所有密钥。
修复建议
使用低版本SSL的网站，并尽快按如下方案修复该漏洞:
升级OpenSSL 1.0.1g
使用-DOPENSSL_NO_HEARTBEATS参数重新编译低版本的OpenSSL以禁用Heartbleed模块
对于普通用户来说，安全牛建议近期尽量避免使用网银等网络支付服务，尽量抽空修改所有关键网银、网购和社交账号密码，并随时留意安全牛的最新报道。http://www.oschina.net/news/50580/openssl-fatal-hole
由于互联网基础安全协议OpenSSL的漏洞存在时间较长，波及范围广（超过三分之二互联网站受到影响），攻击简便且不会留下痕迹，其对全球互联网尤其是网络金融和电子商务行业的冲击将难以估量。
研究者近日在互联网安全协议OpenSSL v1.0.1到1.0.1f的密码算法库中发现了一个非常严重bug（CVE-2014-0160），该bug允许攻击者读取存在bug的系统的64kb处理内存，暴露加密流量的密钥，用户的名字和密码，以及访问的内容。
OpenSSL是Apache和nginx网络服务器的默认安全协议，此外大量操作系统、电子邮件和即时通讯系统也采用OpenSSL加密用户数据 通讯。而此次发现的bug已经存在两年之久，这意味着攻击者可以利用该bug获取大量互联网服务器与用户之间的数字证书私钥，从而获取用户账户密码等敏感 数据。由于攻击者不会在服务器日志中留下痕迹，因此网站系统管理员将无法得知系统漏洞是否已经被黑客利用，也无从得知用户数据和账号是否已经被黑客扫描获 取并用于未来的网络黑市交易。
据Ars报道，超过三分之二的互联网服务器使用存在漏洞的OpenSSL版本来保护用户账户密码、网银账号等敏感数据。由于漏洞存在时间较长，攻击简便且不会留下痕迹，此次发现的漏洞的影响范围，以及对互联网尤其是网络金融和电子商务行业的冲击将难以估量。
据solidot报道，OpenSSL已经发布了1.0.1g修正bug，Debian发行版也在半小时修复了bug，Fedora发布了一个权宜的修正方案。 该bug是在2011年引入到OpenSSL中，使用OpenSSL 0.9.8的发行版不受影响，但Debian Wheezy、Ubuntu 12.04.4、 Centos 6.5、Fedora 18、SuSE 12.2、OpenBSD 5.4、FreeBSD 8.4和NetBSD 5.0.2之后的版本都受到影响。如果你运行存在该bug的系统，那么最好废除所有密钥。
修复建议
使用低版本SSL的网站，并尽快按如下方案修复该漏洞:
升级OpenSSL 1.0.1g
使用-DOPENSSL_NO_HEARTBEATS参数重新编译低版本的OpenSSL以禁用Heartbleed模块
对于普通用户来说，安全牛建议近期尽量避免使用网银等网络支付服务，尽量抽空修改所有关键网银、网购和社交账号密码，并随时留意安全牛的最新报道。
由于互联网基础安全协议OpenSSL的漏洞存在时间较长，波及范围广（超过三分之二互联网站受到影响），攻击简便且不会留下痕迹，其对全球互联网尤其是网络金融和电子商务行业的冲击将难以估量。
研究者近日在互联网安全协议OpenSSL v1.0.1到1.0.1f的密码算法库中发现了一个非常严重bug（CVE-2014-0160），该bug允许攻击者读取存在bug的系统的64kb处理内存，暴露加密流量的密钥，用户的名字和密码，以及访问的内容。
OpenSSL是Apache和nginx网络服务器的默认安全协议，此外大量操作系统、电子邮件和即时通讯系统也采用OpenSSL加密用户数据 通讯。而此次发现的bug已经存在两年之久，这意味着攻击者可以利用该bug获取大量互联网服务器与用户之间的数字证书私钥，从而获取用户账户密码等敏感 数据。由于攻击者不会在服务器日志中留下痕迹，因此网站系统管理员将无法得知系统漏洞是否已经被黑客利用，也无从得知用户数据和账号是否已经被黑客扫描获 取并用于未来的网络黑市交易。
据Ars报道，超过三分之二的互联网服务器使用存在漏洞的OpenSSL版本来保护用户账户密码、网银账号等敏感数据。由于漏洞存在时间较长，攻击简便且不会留下痕迹，此次发现的漏洞的影响范围，以及对互联网尤其是网络金融和电子商务行业的冲击将难以估量。
据solidot报道，OpenSSL已经发布了1.0.1g修正bug，Debian发行版也在半小时修复了bug，Fedora发布了一个权宜的修正方案。 该bug是在2011年引入到OpenSSL中，使用OpenSSL 0.9.8的发行版不受影响，但Debian Wheezy、Ubuntu 12.04.4、 Centos 6.5、Fedora 18、SuSE 12.2、OpenBSD 5.4、FreeBSD 8.4和NetBSD 5.0.2之后的版本都受到影响。如果你运行存在该bug的系统，那么最好废除所有密钥。
修复建议
使用低版本SSL的网站，并尽快按如下方案修复该漏洞:
升级OpenSSL 1.0.1g
使用-DOPENSSL_NO_HEARTBEATS参数重新编译低版本的OpenSSL以禁用Heartbleed模块
对于普通用户来说，安全牛建议近期尽量避免使用网银等网络支付服务，尽量抽空修改所有关键网银、网购和社交账号密码，并随时留意安全牛的最新报道。http://www.oschina.net/news/50580/openssl-fatal-hole
由于互联网基础安全协议OpenSSL的漏洞存在时间较长，波及范围广（超过三分之二互联网站受到影响），攻击简便且不会留下痕迹，其对全球互联网尤其是网络金融和电子商务行业的冲击将难以估量。
研究者近日在互联网安全协议OpenSSL v1.0.1到1.0.1f的密码算法库中发现了一个非常严重bug（CVE-2014-0160），该bug允许攻击者读取存在bug的系统的64kb处理内存，暴露加密流量的密钥，用户的名字和密码，以及访问的内容。
OpenSSL是Apache和nginx网络服务器的默认安全协议，此外大量操作系统、电子邮件和即时通讯系统也采用OpenSSL加密用户数据 通讯。而此次发现的bug已经存在两年之久，这意味着攻击者可以利用该bug获取大量互联网服务器与用户之间的数字证书私钥，从而获取用户账户密码等敏感 数据。由于攻击者不会在服务器日志中留下痕迹，因此网站系统管理员将无法得知系统漏洞是否已经被黑客利用，也无从得知用户数据和账号是否已经被黑客扫描获 取并用于未来的网络黑市交易。
据Ars报道，超过三分之二的互联网服务器使用存在漏洞的OpenSSL版本来保护用户账户密码、网银账号等敏感数据。由于漏洞存在时间较长，攻击简便且不会留下痕迹，此次发现的漏洞的影响范围，以及对互联网尤其是网络金融和电子商务行业的冲击将难以估量。
据solidot报道，OpenSSL已经发布了1.0.1g修正bug，Debian发行版也在半小时修复了bug，Fedora发布了一个权宜的修正方案。 该bug是在2011年引入到OpenSSL中，使用OpenSSL 0.9.8的发行版不受影响，但Debian Wheezy、Ubuntu 12.04.4、 Centos 6.5、Fedora 18、SuSE 12.2、OpenBSD 5.4、FreeBSD 8.4和NetBSD 5.0.2之后的版本都受到影响。如果你运行存在该bug的系统，那么最好废除所有密钥。
修复建议
使用低版本SSL的网站，并尽快按如下方案修复该漏洞:
升级OpenSSL 1.0.1g
使用-DOPENSSL_NO_HEARTBEATS参数重新编译低版本的OpenSSL以禁用Heartbleed模块
对于普通用户来说，安全牛建议近期尽量避免使用网银等网络支付服务，尽量抽空修改所有关键网银、网购和社交账号密码，并随时留意安全牛的最新报道。
对此，支付宝方面昨晚对北京晨报（微博）记者回应称，目前没有发现任何数据泄露。支付宝称：“这个是一个加密传输协议的漏洞，包括百度、腾讯在内，国内所有厂商都在用，支付宝也用了，但是我们用的这个版本是没有漏洞的，所以不受影响。”
帝国的余晖。。。。
埃赫那吞之光 发表于 2014-4-9 09:05
帝国的余晖。。。。
看清楚点，这个漏洞主要存在于网站服务器的系统，关普通用户屁事。而且unix系列几乎全线中招……
帝国的余晖。。。。
看清楚点，这个漏洞主要存在于网站服务器的系统，关普通用户屁事。而且unix系列几乎全线中招……
scut_m 发表于 2014-4-9 09:13
看清楚点，这个漏洞主要存在于网站服务器的系统，关普通用户屁事。而且unix系列几乎全线中招……
不关普通用户屁事？ 你不用网络服务了？
看清楚点，这个漏洞主要存在于网站服务器的系统，关普通用户屁事。而且unix系列几乎全线中招……
不关普通用户屁事？ 你不用网络服务了？
坏了！昨天才登陆了sis！怎么办？
我不登陆淘宝和支付宝以后全用现金是不是安全点！？？！
没事，一周之前我已经把支付宝的余额转到浦发银行账户上了。
该用户不能删除 发表于 2014-4-9 09:42
坏了！昨天才登陆了sis！怎么办？
把帐号和密码给我,我帮你检查下,是否安全.
坏了！昨天才登陆了sis！怎么办？
把帐号和密码给我,我帮你检查下,是否安全.
坏了！昨天才登陆了sis！怎么办？
少先队员，还在用SIS呐，
少先队员，还在用SIS呐，
该用户不能删除 发表于 2014-4-9 09:42
坏了！昨天才登陆了sis！怎么办？
晕。。。。你是来搅局的。。。。
坏了！昨天才登陆了sis！怎么办？
晕。。。。你是来搅局的。。。。
表示完全没看懂
请把余额宝、网银的钱转到国家安全帐号xxxx xxxx xxxx xxxx xxx