Zo'n 49% van de servers is kwetsbaar voor een lek in OpenSSL waardoor een aanvaller de verbinding tussen server en gebruikers kan afluisteren, zo melden onderzoekers van Qualys. Het beveiligingsbedrijf deed onderzoek naar de uitrol van een patch voor OpenSSL die vorige week verscheen.

OpenSSL wordt gebruikt voor het versleutelen van verbindingen tussen servers en internetgebruikers. Een probleem dat al zestien jaar in de code bleek te zitten en vorige week werd geopenbaard maakte het mogelijk voor een aanvaller, die zich tussen de gebruiker en server bevond, om het versleutelde verkeer te ontsleutelen. Deze man-in-the-middle-aanval werkt alleen als zowel de server als de gebruiker een kwetsbare OpenSSL-versie gebruiken.

De meeste browsers gebruiken geen OpenSSL, wat inhoudt dat de meeste browsergebruikers niet getroffen worden. Android-browsers gebruiken echter wel OpenSSL en zijn dan ook kwetsbaar voor deze aanval. Daarnaast lopen ook allerlei andere programma's risico, waaronder VPN-oplossingen die op OpenSSL zijn gebaseerd, zoals OpenVPN.

Onderzoek

Onderzoekers van Qualys hebben sinds vorige week servers gecontroleerd om te kijken of ze de update voor OpenSSL geïnstalleerd hebben. Uit het onderzoek komt naar voren dat zo'n 49% kwetsbaar is. In 14% van het totaal aantal servers bleek dat aanvallers het lek ook daadwerkelijk konden misbruiken. "De rest is waarschijnlijk niet kwetsbaar voor concrete aanvallen, maar moet toch worden geüpgraded omdat het mogelijk is dat er andere manieren zijn om misbruik van dit probleem te maken", zegt onderzoeker Ivan Ristic.