伤心欲绝：HTTPS以外的服务是否受到影响？

65

OpenSSL的“心脏出血”漏洞（CVE-2014-0160）影响服务HTTPS的Web服务器。其他服务也使用OpenSSL。这些服务是否还容易遭受类似流血的数据泄漏？

我特别在想

sshd
安全SMTP，IMAP等-dovecot，exim和postfix
VPN服务器-OpenVPN和朋友

至少在我的系统上，所有这些都链接到OpenSSL库。

security openssl heartbleed

— 起伏
source

修复Ubuntu：apt-get更新&& apt-get安装openssl libssl1.0.0 &&服务nginx重新启动; 然后，重新发布您的私钥

— Homer6'4

使用此工具检测易受攻击的主机：github.com/titanous/heartbleeder

— Homer6

1

apt-get update该补丁现在对于Ubuntu来说已经足够而无需降级了，该补丁昨晚出现在主存储库中。

— 杰森C

10

apt-get更新还不够。更新仅显示最新更改，更新后将应用apt-get UPGRADE。

— sjakubowski14年

1

我确定这就是@JasonC的意思，但是+1使其明确表示。

— Craig

40

使用OpenSSL进行TLS实施的任何服务都可能受到攻击；这是底层密码学库的弱点，而不是通过Web服务器或电子邮件服务器包的呈现方式。您应该至少考虑所有链接服务容易受到数据泄漏的影响。

如您所知，您很有可能将攻击链接在一起。即使是最简单的攻击，也完全可以使用例如Heartbleed来破坏SSL，读取Webmail凭据，使用Webmail凭据来快速访问“其他系统”，“亲爱的服务台，您能给我$ foo的新密码，爱首席执行官”。

在Heartbleed Bug中有更多信息和链接，在Server Fault常规维护的另一个问题Heartbleed中，它是什么？有什么缓解方法？。

— 罗伯·摩尔
source

3

“这是底层系统的弱点，而不是通过更高级别的系统（例如SSL / TLS）显示出来的弱点”-不，这是错误的。这是TLS心跳扩展的实现中的一个弱点。如果您从未使用过TLS，那将是安全的。但是，我确实同意您的结论，即您必须非常谨慎地分析可能因连锁攻击而受到影响的内容。

— 英仙座

6

@Perseids当然是对的，我试图找到一种易于理解的说法，即人们不安全，因为他们正在运行此版本的Web服务器X或那个版本的SMTP服务器Y。我正在进行编辑这有望改善情况，因此感谢您指出这一点。

— 罗伯·摩尔

35

看来您的ssh键很安全：

值得指出的是，OpenSSH不受OpenSSL错误的影响。尽管OpenSSH确实将openssl用于某些密钥生成功能，但并未使用TLS协议（尤其是令人发泄攻击的TLS心跳扩展）。因此，无需担心SSH会受到威胁，尽管将openssl更新为1.0.1g或1.0.2-beta2仍然是一个好主意（但您不必担心替换SSH密钥对）。– jimbob博士6小时前

参见：https : //security.stackexchange.com/questions/55076/what-should-one-do-about-the-heartbleed-openssl-exploit

— 西姆
source

@RobM是否会间接影响它？有人使用Heartbleed漏洞从内存中读取root的密码，获得对系统的任何非SSH访问，然后窃取SSH内容。

— Thomas Weller 2014年

1

出现此错误，您将无法读取任何64k的内存，只能在存储传入数据包的位置附近读取64k。不幸的是，许多东西往往存储在这里，例如带有纯文本密码，私钥和小猫图片的解密HTTP请求。

— larsr 2014年

4

除了@RobM的答案之外，并且由于您特别询问SMTP：已经存在一个利用SMTP上的bug的PoC：https : //gist.github.com/takeshixx/10107280

— 马丁
source

4

具体来说，如果我正确阅读了代码，它将利用在“ starttls”命令之后建立的TLS连接。

— 英仙座

3

是的，如果这些服务依靠OpenSSL可能会受到威胁

OpenSSL用于保护例如电子邮件服务器（SMTP，POP和IMAP协议），聊天服务器（XMPP协议），虚拟专用网络（SSL VPN），网络设备和各种客户端软件。

有关漏洞，受影响的操作系统等的详细信息，请访问http://heartbleed.com/。

— 彼得
source

3

与之链接的任何内容都libssl.so可能会受到影响。升级后，应重新启动与OpenSSL链接的所有服务。

# lsof +c 0 | grep -w DEL | awk '1 { print $1 ": " $NF }' | grep libssl | sort -u
bacula-fd: /usr/lib/libssl.so.1.0.0
php-fpm: /usr/lib/libssl.so.1.0.0
php-fpm: /usr/lib/php/modules/openssl.so
python2: /usr/lib/libssl.so.1.0.0
python2: /usr/lib/python2.7/lib-dynload/_ssl.so
python: /usr/lib/libssl.so.1.0.0
ruby-timer-thr: /usr/lib/libssl.so.1.0.0
ruby: /usr/lib/libssl.so.1.0.0

由Arch Linux邮件列表中的Anatol Pomozov提供。

— 诺瓦克
source

2

与libssl链接并使用TLS的任何内容。Openssh使用openssl但不使用TLS，因此不受影响。

— StasM 2014年

2

@StasM这就是为什么我写的内容可能会受到影响，而不是受到影响的原因。另外，OpenSSH 服务器完全不针对OpenSSL进行链接。像ssh-keygen这样的实用程序可以使用，但OpenSSH 服务器本身不使用它们。在我提供的lsof输出中，这很明显-OpenSSH虽然在服务器上运行，但未在其中列出。

— Nowaker

1

其他服务也受此影响。

对于任何人谁使用HMailServer，开始阅读在这里- http://www.hmailserver.com/forum/viewtopic.php?f=7&t=26276

任何人和所有人都需要与所有软件包的开发人员进行核对，以了解是否需要更新。

— 泰克
source