Уязвимость FREAK осталась во множестве приложений на Android и iOS

3 марта исследователи сообщили о наличии уязвимости под названием FREAK в криптографическом пакете OpenSSL, предназначенном для работы с протоколами SSL/TLS (Secure Sockets Layer/Transport Security Layer). Эта уязвимость целенаправленно создавалась в 90-х годах американскими производителями программного обеспечения, поставляющими свои продукты за границу. Благодаря ей можно вынудить приложения использовать 512-битные ключи шифрования вместо применяемых сейчас 2048-битных. В результате такие ключи можно взломать, запустив специальное ПО на публичных облачных сервисах.

Apple и Google уже выпустили закрывающие уязвимость обновления своих мобильных операционных систем, однако обновления требуются также отдельным приложениям. Компания FireEye проанализировала магазин приложений Google и установила, что из рассмотренных приложений уязвимы 1228. Из них 664 используют стандартную библиотеку OpenSSL, остальные - собственные версии. Что касается iOS, здесь из 14079 рассмотренных приложений уязвимость найдена в 771, и только в семи на операционной системе iOS 8.2.

По мнению исследователей, использование уязвимости FREAK несёт угрозу безопасности и приватности пользователей мобильных приложений. Уязвимость существует в приложениях множества категорий, включая финансы, коммуникации, покупки, бизнес, медицину. К сожалению, для OpenSSL только за последний год это не первая найденная масштабная уязвимость: до неё были Heartbleed и POODLE.