"Groot aantal OpenSSL-installaties niet meer ondersteund met updates"
Deze week kreeg een kwetsbaarheid in OpenSSL 3.0 veel aandacht, maar een veel groter probleem is het gebruik van OpenSSL-versies die niet meer met beveiligingsupdates worden ondersteund, zo stelt securitybedrijf Qualys op basis van eigen onderzoek.
OpenSSL behoort tot de meestgebruikte software voor het versleutelen van internetverbindingen. Websites maken er bijvoorbeeld gebruik van om het verkeer van en naar bezoekers te versleutelen, maar het wordt ook binnen allerlei applicaties gebruikt. Kwetsbaarheden in de software kunnen grote gevolgen hebben, zoals de Heartbleed-bug uit 2014 aantoonde.
Het OpenSSL-ontwikkelteam had vorige week aangekondigd dat er een kritieke kwetsbaarheid in OpenSSL 3.0 aanwezig was. De impactbeoordeling werd echter afgeschaald naar een "hoge" impact, zo bleek afgelopen dinsdag bij het uitkomen van de update. Op dit moment zijn er twee versies van OpenSSL die worden ondersteund, namelijk versie 1.1.1 en 3.0.
Securitybedrijf Censys meldde eerder al dat OpenSSL 3.0 weinig wordt gebruikt. Zo trof het bedrijf via een scan slechts zevenduizend servers met deze OpenSSL-versie aan. Qualys besloot bij de eigen klanten te kijken en ontdekte 15.000 organisaties die van OpenSSL gebruikmaken. Tien procent werkt binnen hun eigen omgeving met een kwetsbare OpenSSL 3.0-versie. Qualys besloot ook een serverscan uit te voeren op internet en detecteerde 14 miljoen servers. Slechts 13.000 daarvan draaiden OpenSSL 3.0.
Wat volgens het securitybedrijf een veel grotere zorg is, is het gebruik van OpenSSL-versies die end-of-life of end-of-support zijn. 82 procent van de OpenSSL-installaties die Qualys detecteerde ontvangt geen beveiligingsupdates meer. Sinds 2002 zijn in de verschillende OpenSSL-versies meer dan tweehonderd kwetsbaarheden aangetroffen. Hoewel het aantal werkbare exploits beperkt is, wordt organisaties aangeraden naar een wel ondersteunde versie te updaten.
kwetsbaarheden worden overal aangetroffen. Elke bug is in principe een kwetsbaarheid. Vraag is hoeveel er van kritiek en important zijn. Voor moderate en low maak ik mij niet veel zorgen, maar die moderate en important moet wel binnen een maand worden gepatcht als er een patch beschikbaar is volgens reguliere procedure. Kritiek binnen 2 dagen.
Dit hoeft niet zo te zijn.
Volgens mij bestaan er ook "functionele bugs" dat iets niet correct functioneert of helemaal niet werkt, maar niet een dreiging of kwetsbaarheid hoeft te zijn.
Dit hoeft niet zo te zijn.
Volgens mij bestaan er ook "functionele bugs" dat iets niet correct functioneert of helemaal niet werkt, maar niet een dreiging of kwetsbaarheid hoeft te zijn.
Inderdaad. En we zien de laatste tijd wel vaker dat er kwetsbaarheden zijn die wel in de nieuwe ondersteunde versie zitten (die dan gepatched moet worden) maar in de oude niet meer ondersteunde versie helemaal niet aanwezig waren!
Dat kan bijvoorbeeld komen omdat bepaalde nieuwe hippe functies die erbij geplakt zijn toen nog niet aanwezig waren.
Het toont maar aan dat, hoe mooi software ook kan zijn, het een moreel principe heeft van voor de oertijd.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
