توجه ! این یک نسخه آرشیو شده میباشد و در این حالت شما عکسی را مشاهده نمیکنید برای مشاهده کامل متن و عکسها بر روی لینک مقابل کلیک کنید : مشکل امنیتی مهم و جدید در OpenSSL - heartbeat
secure_host
April 9th, 2014, 00:38
مشکل امنیتی OpenSSL - heartbeat
دیروز باگ امنیتی جدیدی در هسته کتابخانه های مورد نیاز در SSL منتشر شده است که باعث می شود تا اطلاعات ذخیره شده در memory سرویس دهنده و سرویس گیرنده که دارای ۶۴ کیلوبایت و یا بیشتر باشند فاش شود. که اطلاعاتی که در memory سرویس دهنده و سرویس گیرنده ذخیره می شوند عبارتند از
اطلاعاتی که در primary key موجود است عبارتند از کلید محرمانه SSL که دسترسی به این کلید به نفوذگر امکان رمز گشایی ترافیک های گذشته و آینده ارسالی به سمت سرویس گیرنده را میدهد .
اطلاعاتی که در secondary key ذخیره می شوند. عبارتند از اطلاعات مربوطه به اعتبارسنجی ها که می توان نام های کاربری و رمزهای عبور را در این دست اطلاعات قرار داد.
اطلاعاتی که در protected content موجود است عبارتند از : محتوی ایمیل ها و عکس ها و مطالب رد و بدل شده بین سرویس گیرنده و سرویس دهنده که در حالت عادی فقط مالک ایمیل می تواند به این اطلاعات دسترسی داشته باشد.
اطلاعاتی که در collateral ذخیره می شود . عبارتند از اطلاعات مربوط به memory که می توان اطلاعاتی مانند جزییات فنی نظیر آدرس حافظه و همچنین مکانیسم های امنیتی جهت جلوگیری از حملات buffer overflow (حملات سریز حافظه) را در این قسمت مشاهده نمود.
باتوجه به این که این مشکل در extension های اصلی ssl به نام heartbeat وجود آمده است . شما باید بروز رسانی را به نسخه جدید انجام دهید.
کدام نسخه های openssl نسبت به این باگ آسیب پذیر می باشد.؟
حهت بررسی این که آیا شما نیز آسیپ پذیر می باشید یا خیر ؟ لینک زیر را مشاهده نمایید.
Test your server for Heartbleed (CVE-2014-0160) (http://filippo.io/Heartbleed/#openssl.org:443)
در صورتی که عبارت IS VULNERABLE را نمایش داد . یعنی این که سرور شما آسپیب پذیر می باشد.
۱- OpenSSL 1.0.1 through 1.0.1f (inclusive : آسیب پذیر می باشد.
۲- OpenSSL 1.0.1g : آسیب پذیر نمی باشد.
۳- OpenSSL 1.0.0 branch: آسیب پذیر نمی باشد.
۴-OpenSSL 0.9.8 branch : آسیب پذیر نمی باشد.
کدام سیستم عامل ها نسبت به این باگ آسیب پذیر می باشند.؟
Debian Squeeze (oldstable), OpenSSL 0.9.8o-4squeeze14
SUSE Linux Enterprise Server
این باگ ابتدا در December 2011 منتشر شد. که در نسخه ۱.۰.۱ مشکل برطرف گردید و دوباره در تاریخ 7 April 2014 منتشر شده است که شناسایی و کشف این مشکل امنیتی توسط Neel Mehta از تیم امنیتی گوگل بوده است.
برای حل این مشکل توصیه می گردد هرچه سریع تر اقدامات جهت بروز رسانی نسخه مربوط به openssl را انجام دهید.
جهت patch کردن مشکل امنیتی اقدامات زیر را انجام دهید.
برای برطرف کردن مشکل باید openssl را با قابلیت -DOPENSSL_NO_HEARTBEATS کامپایل کنید.
به جهت بروز رسانی به صورت زیر عمل کنید.
۱- نسخه جدید را از سایت مربوطه دانلود نمایید.
۲- بعد از اکسترکت کردن اقدام به کانفیگ نمایید.
۳- سپس نصب نمایید.
[LEFT]
cd /usr/src
# wget http://www.openssl.org/source/openssl-1.0.1g.tar.gz
# tar -xvzf openssl-1.0.1g.tar.gz
# cd openssl-1.0.1g/
#./config -DOPENSSL_NO_HEARTBEATS
#make
#make test
#make install
ویا می توانید از دستورات زیر استفاده نمایید.
#yum clean all
#yum update openssl
و کسانی که از litespeed استفاده می کنند . اقدام به بروز رسانی litespeed کنند.
easyapache نیز با بروز رسانی پچ امنیتی جدید را نصب می کند.
برای cloudlinux هم از دستورات زیر جهت برطرف نمودن مشکل امنیتی استفاده نمایید.
منبع :
مشکل امنیتی OpenSSL - heartbeat - مرکز آموزش - SecureHost (http://buy.securehost.ir/knowledgebase/7/--OpenSSL---heartbeat.html)
بعد از آپدیت حتما سرور را ریبوت نمایید.
در صورت برطرف شدن با پیغام
All good, securehost.ir:443 seems not affected! در وب سایت Test your server for Heartbleed (CVE-2014-0160) (http://filippo.io/Heartbleed/#securehost.ir:443) مواجه می شوید.
سایت خودمون برای مثال ذکر شده است.
دیروز باگ امنیتی جدیدی در هسته کتابخانه های مورد نیاز در SSL منتشر شده است که باعث می شود تا اطلاعات ذخیره شده در memory سرویس دهنده و سرویس گیرنده که دارای ۶۴ کیلوبایت و یا بیشتر باشند فاش شود. که اطلاعاتی که در memory سرویس دهنده و سرویس گیرنده ذخیره می شوند عبارتند از
اطلاعاتی که در primary key موجود است عبارتند از کلید محرمانه SSL که دسترسی به این کلید به نفوذگر امکان رمز گشایی ترافیک های گذشته و آینده ارسالی به سمت سرویس گیرنده را میدهد .
اطلاعاتی که در secondary key ذخیره می شوند. عبارتند از اطلاعات مربوطه به اعتبارسنجی ها که می توان نام های کاربری و رمزهای عبور را در این دست اطلاعات قرار داد.
اطلاعاتی که در protected content موجود است عبارتند از : محتوی ایمیل ها و عکس ها و مطالب رد و بدل شده بین سرویس گیرنده و سرویس دهنده که در حالت عادی فقط مالک ایمیل می تواند به این اطلاعات دسترسی داشته باشد.
اطلاعاتی که در collateral ذخیره می شود . عبارتند از اطلاعات مربوط به memory که می توان اطلاعاتی مانند جزییات فنی نظیر آدرس حافظه و همچنین مکانیسم های امنیتی جهت جلوگیری از حملات buffer overflow (حملات سریز حافظه) را در این قسمت مشاهده نمود.
باتوجه به این که این مشکل در extension های اصلی ssl به نام heartbeat وجود آمده است . شما باید بروز رسانی را به نسخه جدید انجام دهید.
کدام نسخه های openssl نسبت به این باگ آسیب پذیر می باشد.؟
حهت بررسی این که آیا شما نیز آسیپ پذیر می باشید یا خیر ؟ لینک زیر را مشاهده نمایید.
Test your server for Heartbleed (CVE-2014-0160) (http://filippo.io/Heartbleed/#openssl.org:443)
در صورتی که عبارت IS VULNERABLE را نمایش داد . یعنی این که سرور شما آسپیب پذیر می باشد.
۱- OpenSSL 1.0.1 through 1.0.1f (inclusive : آسیب پذیر می باشد.
۲- OpenSSL 1.0.1g : آسیب پذیر نمی باشد.
۳- OpenSSL 1.0.0 branch: آسیب پذیر نمی باشد.
۴-OpenSSL 0.9.8 branch : آسیب پذیر نمی باشد.
کدام سیستم عامل ها نسبت به این باگ آسیب پذیر می باشند.؟
Debian Squeeze (oldstable), OpenSSL 0.9.8o-4squeeze14
SUSE Linux Enterprise Server
این باگ ابتدا در December 2011 منتشر شد. که در نسخه ۱.۰.۱ مشکل برطرف گردید و دوباره در تاریخ 7 April 2014 منتشر شده است که شناسایی و کشف این مشکل امنیتی توسط Neel Mehta از تیم امنیتی گوگل بوده است.
برای حل این مشکل توصیه می گردد هرچه سریع تر اقدامات جهت بروز رسانی نسخه مربوط به openssl را انجام دهید.
جهت patch کردن مشکل امنیتی اقدامات زیر را انجام دهید.
برای برطرف کردن مشکل باید openssl را با قابلیت -DOPENSSL_NO_HEARTBEATS کامپایل کنید.
به جهت بروز رسانی به صورت زیر عمل کنید.
۱- نسخه جدید را از سایت مربوطه دانلود نمایید.
۲- بعد از اکسترکت کردن اقدام به کانفیگ نمایید.
۳- سپس نصب نمایید.
[LEFT]
cd /usr/src
# wget http://www.openssl.org/source/openssl-1.0.1g.tar.gz
# tar -xvzf openssl-1.0.1g.tar.gz
# cd openssl-1.0.1g/
#./config -DOPENSSL_NO_HEARTBEATS
#make
#make test
#make install
منبع :
مشکل امنیتی OpenSSL - heartbeat - مرکز آموزش - SecureHost (http://buy.securehost.ir/knowledgebase/7/--OpenSSL---heartbeat.html)
سلام دوست عزیز
ممنون بابت اطلاع رسانیتون
من آموزش شما رو قدم به قدم پیش رفتم اما ظاهرا مشکل حل نشده
کاری هست که شما فراموش کرده باشید بگید ؟
secure_host
April 9th, 2014, 11:24
بعد از بروز رسانی سرور را ریبوت نمایید.
x0r
April 9th, 2014, 11:50
ریبوت زدم اما این سایت بازم نشون میده خطا وجود داره
Test your server for Heartbleed (CVE-2014-0160) (http://filippo.io/Heartbleed/)
i-whost
April 9th, 2014, 11:55
ریبوت زدم اما این سایت بازم نشون میده خطا وجود داره
Test your server for Heartbleed (CVE-2014-0160) (http://filippo.io/Heartbleed/)
سیستم عامل و وب سرور چی هست؟
x0r
April 9th, 2014, 11:58
سیستم عامل و وب سرور چی هست؟
Linux 2.6.32-431.11.2.el6.x86_64 #1 SMP Tue Mar 25 19:59:55 UTC 2014 x86_64 x86_64 x86_64 GNU/Linux
OpenSSL 1.0.1e-fips 11 Feb 2013
secure_host
April 9th, 2014, 12:49
با سلام
از دستور زیر استفاده کنید.
#yum clean all
#yum update openssl
بعد از اعمال تغییرات ریبوت نمایید.
باتشکر
x0r
April 9th, 2014, 12:53
با سلام
از دستور زیر استفاده کنید.
#yum clean all
#yum update openssl
بعد از اعمال تغییرات ریبوت نمایید.
باتشکر
خروجی دستورات
root@ns4007428 [~]# yum clean all
Loaded plugins: fastestmirror
Cleaning repos: base extras rpmforge updates
Cleaning up Everything
Cleaning up list of fastest mirrors
root@ns4007428 [~]# yum clean all
Loaded plugins: fastestmirror
Cleaning repos: base extras rpmforge updates
Cleaning up Everything
Cleaning up list of fastest mirrors
باسلام
repository ها را تغییر بدید مشکل حل میشه.
با تشکر
mhiizadi
April 9th, 2014, 23:55
من هم از ssh و هم از easy apche اپگرید کردم ولی اون لینکی که شما دادید چک کنم باز درست نشد ! :) و
IS VULNERABLE....
mhm233
April 10th, 2014, 01:19
برای رفع این مشکل فقط کافیه openssl رو آپدیت کنید ؛ بعد یک SSL certificate جدید بسازید،در انتها هم آپاچی رو ریستارت کنید (روش توسط خود بنده تست شده)
آموزش ساخت SSL certificate روی Centos
https://www.digitalocean.com/community/articles/how-to-create-a-ssl-certificate-on-apache-for-centos-6
آموزش ساخت SSL certificate روی Ubuntu
https://www.digitalocean.com/community/articles/how-to-create-a-ssl-certificate-on-apache-for-ubuntu-12-04
shyton021
April 10th, 2014, 02:26
همجا نوشته شده این باگ برای سرور های لینوکسی هست! الان من ای پی سرور ویندوز خودم رو در سایتی که تست این باگ را انجام میده وارد کردم و نتیجه سرور را دارای این باگ تشخیص داد!!
مشکل کجاست؟ اگر برای ویندوزی هم هست جهت رفع آن باید چیکار انجام داد؟
j4b3r
April 10th, 2014, 09:05
سلام
روی centos فقط اپدیت کنید بعد اپاچی رو ری استارت کنید مشکل حل میشه
برای لایت اسپیئ نیاز دارید حتما اپدیت کنید لایست اسپید رو بعد ااز ریست شدن لایت اسپید اررور رفع میشه
Nicdata
April 10th, 2014, 15:58
درود
تمام مراحل رو انجام دادم ولی بازهم مشکل امنیتی موجد هست به گفته ی سایت مذکور
ورژن جدیدتری وجود نداره احیانا ؟
mhiizadi
April 10th, 2014, 19:30
درود
تمام مراحل رو انجام دادم ولی بازهم مشکل امنیتی موجد هست به گفته ی سایت مذکور
ورژن جدیدتری وجود نداره احیانا ؟
با آپدیت حل میشود و شاید سایتی که برای چک دادن درست نمیشود.
secure_host
April 11th, 2014, 00:59
با سلام
از آنجایی که همکاران محترم از طریق پیفام خصوصی در خواست کمک کرده بوده اند.
از همین جا به تمام همکاران اعلام می کنم که در صورتی که نیاز به کمک در این مورد دارید. لطفا به آدرس صفحه اصلی پورتال - SecureHost (http://buy.securehost.ir/submitticket.php?step=2&deptid=2) رفته و تیکت درخواست کمک خود را به بخش امنیت این مجموعه ارسال نمایید.
با توجه به این که فردا جمعه است و لود کاری کمتری داریم .لذا می توانیم مشکلات امنیتی مذکور را برطرف نماییم.
با تشکر
meysam021
April 11th, 2014, 01:43
Uh-oh, something went wrong: tls: oversized record received with length 20527
Check what it means at the FAQ (http://filippo.io/Heartbleed/faq.html#wentwrong).
It might mean that the server is safe, we just can't be 100% sure! این به معنی اوکی بودنه؟؟؟
secure_host
April 13th, 2014, 02:14
با سلام
خیر . این به معنی است که سرور شما همچنان آسیب پذیر می باشد.
با تشکر
MahanDev
April 13th, 2014, 10:38
با سلام
این نسخه آسیب پذیر است ؟
OpenSSL 1.0.1e-fips 11 Feb 2013
باتشکر
MR.EBLIS
April 14th, 2014, 02:57
yum update openssl کار نمیده.
repository هارو چه جور باید تغییر داد؟
MR.EBLIS
April 14th, 2014, 14:47
کسی نیست مارو راهنمایی کنه یعنی؟
clients
April 14th, 2014, 21:46
منم مشکل توی رفع کردن این مشکل داشتم. به استارتر تاپیک گفتم برام برطرف کرد.
به شما هم پیشنهاد می کنم به دلیل خطرناک بودن این مشکل ، بهتره به همکارانی که مشکل را برطرف کنند مثل کاربر Secure_Host (http://www.webhostingtalk.ir/member/165/) مراجعه کنید تا براتون مشکل رو برطرف کنند.
حداقل مشکل امنیتی نداشته باشید. بعد دنبال آموزشش باشید.
من برای چند تا سرور م این کارو کردم.
MR.EBLIS
April 17th, 2014, 20:04
درود. عزیزان یعنی کلا همه چی تو پول خلاصه شده/؟ مشکل من یه
yum update openssl هست که جواب نمیده........ از اون روش اول هم رفتم ورژن شده OpenSSL 1.0.1g 7 Apr 2014
اما هنوز من این باگ رو دارم..... یعنی گفتن دوتا دستور 25 هزارتومن؟؟؟؟ به استارتر عزیز هم مراجعه کردم گفتن 25 هزارتومن گرفته میشه رفع میشه..... اکی من 25 هزارتومن میدم اما مشکل کارم رو بگید لااقل ببینم مشکلم از کجاست
OnlineServer
April 17th, 2014, 20:35
دوست عزیز کمی جستجو کنید تا خودتان به نتیجه دلخواه برسید
برای اضافه کردن مخازن RPMForge به 6 centos به شکل زیر عمل کنید :
## RHEL/CentOS 6 32 Bit OS ##
wget http://packages.sw.be/rpmforge-release/rpmforge-release-0.5.2-2.el6.rf.i686.rpm
# rpm -Uvh rpmforge-release-0.5.2-2.el6.rf.i686.rpm
## RHEL/CentOS 6 64 Bit OS ##
wget http://packages.sw.be/rpmforge-release/rpmforge-release-0.5.2-2.el6.rf.x86_64.rpm
rpm -Uvh rpmforge-release-0.5.2-2.el6.rf.x86_64.rpm
centos ورژن 5 هم به شکل زیر عمل کنید
## RHEL/CentOS 5 32 Bit OS ##
wget http://packages.sw.be/rpmforge-release/rpmforge-release-0.5.2-2.el5.rf.i386.rpm
rpm -Uvh rpmforge-release-0.5.2-2.el5.rf.i386.rpm
## RHEL/CentOS 5 64 Bit OS ##
wget http://packages.sw.be/rpmforge-release/rpmforge-release-0.5.2-2.el5.rf.x86_64.rpm
rpm -Uvh rpmforge-release-0.5.2-2.el5.rf.x86_64.rpm
centos 4 :
## RHEL/CentOS 4 32 Bit OS ##
wget http://packages.sw.be/rpmforge-release/rpmforge-release-0.5.2-2.el4.rf.i386.rpm
rpm -Uvh rpmforge-release-0.5.2-2.el4.rf.i386.rpm
## RHEL/CentOS 4 64 Bit OS ##
wget http://packages.sw.be/rpmforge-release/rpmforge-release-0.5.2-2.el4.rf.x86_64.rpm
rpm -Uvh rpmforge-release-0.5.2-2.el4.rf.x86_64.rpm
و در آخر برای اضافه کردن key از دستورات زیر استفاده کنید
ممنون داداش اما همچنان ارور no packages marked for update وجود داره. اخه سر در نمیارم مگه نباید تو این نسخه باگ
OpenSSL 1.0.1g 7 Apr 2014 نباشه؟؟؟؟ پس چرا واسه من هنوز هست
OnlineServer
April 17th, 2014, 22:27
احتمالا از ورژن ۵ استفاده میکنید
دستورات زیر را یزنید .
پس از اتمام برای چک کردن نسخه openssl از کامند rpm -q openssl استفاده کنید
MR.EBLIS
April 17th, 2014, 23:35
centos 6.5 هست برا من. منظورتون ورژن centos?
MR.EBLIS
April 17th, 2014, 23:47
هنوز باگ موجود هست. من موندم دیگه چیکار کنم
OnlineServer
April 18th, 2014, 00:09
ورژن 6 که مشکلی ندارد .
قسمت update فایل /etc/yum.repos.d/CentOS-Base.repo را چک کنید ببینید فعال هست ؟
MR.EBLIS
April 18th, 2014, 00:30
بفرمایید.
http://www.xum.ir/images/2014/04/17/ssss.png
یعنی این باگ مارو کچل کرد :| اخرم نفهمیدم چرا پچ نمیشه
OnlineServer
April 18th, 2014, 00:54
enabled=1 اضافه کنید و # ابتدای baseurl را ردارید سپس به ترتیب yum clean all و yum update و yum update openssl را بزنید .
اگر با تمام این تفاسیر به هر دلیل ی باز اپدیت نشد از پکیج های rpm openssl Download (DEB, RPM, TXZ, XZ) (http://pkgs.org/download/openssl) با توجه به ورژن و معماری لینوکستون انتخاب و با کامند rpm -Uvh نصب کنید
MR.EBLIS
April 18th, 2014, 01:44
نصب کردم اینکارایی که گفتید هم کردم اما همچنان همون مشکل هست:| من دیگه واقعا مخم نمیکشه
secure_host
April 19th, 2014, 01:45
با سلام
لطفا دسترسی ارسال نمایید تا مشکل برطرف گردد.
با تشکر
صرفا جهت افزایش اطلاعات . heartbleed بود این نقطه ضعف نه heartbeat
hamid.soltani92
June 6th, 2014, 12:35
صرفا جهت افزایش اطلاعات . heartbleed بود این نقطه ضعف نه heartbeat
جسارتا، اگه به عنوان تاپیک نگاه کنید، استارتر فرمودن که باگ در heartbeat و OpenSSL
heartbleed باگی بود که در اکستنشن heartbeat وجود داشت.
پس عبارت باگ در heartbleed جور در نمیاد! همون عبارتی که استارتر استفاده کردن درسته.
Heartbleed results from improper input validation (due to a missing bounds check) in the implementation of the TLS heartbeat extension,[3] the heartbeat being the basis for the bug's name.[4] The vulnerability is classified as a buffer over-read,[5] a situation where software allows more data to be read than should be allowed.[6]
Heartbleed - Wikipedia, the free encyclopedia (http://en.wikipedia.org/wiki/Heartbleed)
r00t
June 6th, 2014, 12:43
جسارتا، اگه به عنوان تاپیک نگاه کنید، استارتر فرمودن که باگ در heartbeat و OpenSSL
heartbleed باگی بود که در اکتنشن heartbeat وجود داشت.
پس عبارت باگ در heartbleed جور در نمیاد! همون عبارتی که استارتر استفاده کردن درسته.
Heartbleed - Wikipedia, the free encyclopedia (http://en.wikipedia.org/wiki/Heartbleed)
ضمن پوزش بنده فکر کردم عنوان این باگ heartbeat نام برده شده. درست است این باگ در فانکشن heartbeat tls وجود داره.
ممنون.