В OpenSSL снова нашли уязвимость

В криптографическом пакете OpenSSL найдена новая уязвимость, которая позволяет злоумышленнику получать доступ к трафику между клиентом и сервером OpenSSL. Эта уязвимость не такая серьёзная, как ставшая знаменитой на весь мир Heartbleed; её использование ограничивает тот факт, что и на сервере, и на клиенте должна быть установлена одна и та же версия пакета.

Уязвимыми являются все версии клиентов, а среди серверов только версии 1.0.1 и 1.0.2-beta1. Открытие было сделано в мае исследователем Масаши Кикучи, и с тех пор ведётся разработка исправляющего ситуацию обновления.

Между тем, использование этой уязвимости является весьма непростым процессом. Помимо совпадения версий клиента и сервера требуется ещё «человек посередине» (man-in-the-middle), который сможет расшифровать и модифицировать трафик, получая доступ, например, к паролям и сведениям о кредитных картах. Также злоумышленник должен находиться в одной сети с жертвой, вроде публичной сети Wi-Fi. Такие сложности снижают вероятность реального применения этой уязвимости, но не делают её невозможной, особенно с учётом того, что она могла существовать на протяжении вот уже 15 лет.

Как бы то ни было, можно отметить, что браузеры Chrome, Firefox и Internet Explorer не используют OpenSSL, так что в данном случае они вне опасности.