OpenSSL kondigt belangrijke beveiligingsupdate aan voor 7 februari
De makers van OpenSSL komen volgende week dinsdag 7 februari met een belangrijke beveiligingsupdate, zo heeft het ontwikkelteam vandaag bekendgemaakt. De update verhelpt één of meerdere kwetsbaarheden waarvan de impact als "High" is bestempeld. Dergelijke kwetsbaarheden worden zelden in OpenSSL gerapporteerd. Vorig jaar ging het in totaal om vier van dergelijke beveiligingslekken. Drie daarvan bevonden zich echter in versie 3.0. De meeste OpenSSL-gebruikers werken met versie 1.1.1.
Details over de kwetsbaarheden die volgende week worden verholpen geeft het OpenSSL-team niet. Beveiligingslekken die als High zijn aangemerkt maken het mogelijk voor aanvallers om bijvoorbeeld private keys van servers te stelen of remote code uit te voeren. De reden dat dergelijke kwetsbaarheden als High zijn aangemerkt en niet als Critical is dat het probleem niet bij standaard configuraties voorkomt of minder eenvoudig te misbruiken is. OpenSSL versies 3.0.8, 1.1.1t en 1.0.2zg verschijnen volgende week dinsdag 7 februari tussen 14.00 en 18.00 uur. OpenSSL 1.0.2 is end-of-life, de update is dan ook alleen beschikbaar voor betalende klanten.
OpenSSL behoort tot de meest gebruikte software voor het versleutelen van internetverbindingen. Websites maken er bijvoorbeeld gebruik van om het verkeer van en naar bezoekers te versleutelen. Kwetsbaarheden in OpenSSL kunnen zeer grote gevolgen voor het internet hebben, zo heeft de Heartbleed Bug in het verleden aangetoond.
Vertel gewoon wat het probleem is.
Vertel gewoon wat het probleem is.
Vertel gewoon wat het probleem is.
Vertel gewoon wat het probleem is.
Precies dit, ik heb het geblokt in mijn agenda de hele middag.
Vertel gewoon wat het probleem is.
Anderzijds (en dat zal ook wel reden zijn) geeft dat misschien teveel richting voor zero-day hunters.
Het lekken van de server key is wel een behoorlijk probleem, zal ook wel een remote exploit gaan worden dan.
Vertel gewoon wat het probleem is.
Vertel gewoon wat het probleem is.
Klopt, daarom wordt het ook gevonden en snel gepatched. Bij CLOSED software weet je nooit wat je mist.
Vertel gewoon wat het probleem is.
Ja.
Vertel gewoon wat het probleem is.
Precies daarom dus. Welke ondersteuning gaat er verdwijnen? Welke wijzigingen gaan er straks problemen veroorzaken in bestaande software? etc.
Zeker met OpenSSL hebben we dat al eerder meegemaakt.
Vertel gewoon wat het probleem is.
Precies daarom dus. Welke ondersteuning gaat er verdwijnen? Welke wijzigingen gaan er straks problemen veroorzaken in bestaande software? etc.
Zeker met OpenSSL hebben we dat al eerder meegemaakt.
Man man man, heb een beetje geduld volgende week hoor je het. Ze hebben nog nooit details uitgegeven alvorens de patch beschikbaar is, wat nogal logisch is gezien er zoveel componenten hier van afhankelijk zijn en dus exploits voor de patch beschibaar is wil verkomen.
Vertel gewoon wat het probleem is.
Klopt, daarom wordt het ook gevonden en snel gepatched. Bij CLOSED software weet je nooit wat je mist.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
