听听[Alerta ETIR/IFSP #7] Alerta de Seguran莽a da Informa莽茫o - Biblioteca OpenSSL
A Equipe de Tratamento e Respostas a Incidentes em Redes de Computadores - ETIR / IFSP, atrav茅s de suas a莽玫es cont铆nuas de preven莽茫o de amea莽as 脿 seguran莽a da informa莽茫o institucional e respostas a incidentes, alerta que:
听
Uma vulnerabilidade "Cr铆tica" foi descoberta nas vers玫es mais recentes do OpenSSL, especificamente nas vers玫es OpenSSLv3.0.0 a v3.0.6. Esta foi a informa莽茫o de um comunicado oficial emitido pelos mantenedores do projeto OpenSSL, na 煤ltima quarta-feira, dia 26/10.
O comunicado continua, alertando a todos que possuam a biblioteca OpenSSL nessas vers玫es, instaladas em seus servi莽os, servidores ou instalada por softwares de terceiros, que um patch para esta vulnerabilidade cr铆tica ser谩 lan莽ado, ter莽a-feira, 1潞 de novembro, entre as 10h e 14h, no hor谩rio de Bras铆lia.
Ap贸s a aplica莽茫o da atualiza莽茫o, a biblioteca OpenSSL dever谩 passar para a vers茫o OpenSSLv3.0.7, que 茅 a vers茫o considerada segura pelos mantenedores.
听
O OpenSSL 茅 uma biblioteca de software amplamente utilizada para permitir conex玫es de rede seguras (Transport Layer Security (TLS)) no Linux, Unix, Windows e muitos outros sistemas operacionais, com algumas exce莽玫es no MacOS (usa por padr茫o a LibreSSL).
Por exemplo, se voc锚 estiver usando HTTPS para navegar em sites, 茅 prov谩vel que esteja usando OpenSSL em uma de suas vertentes.
Segue o alerta do projeto (traduzido), com algumas informa莽玫es adicionais sobre a vulnerabilidade:
"A falha tem n铆vel de gravidade "CR脥TICO", afeta configura莽玫es comuns e que podem permitir explora莽玫es. Os exemplos das explora莽玫es incluem a divulga莽茫o do conte煤do da mem贸ria do servidor (possivelmente revelando detalhes do usu谩rio), explora莽玫es remotas para comprometer as chaves privadas do servidor e ainda, em algumas situa莽玫es, a prov谩vel execu莽茫o remota de c贸digo. Detalhes sobre esta falha que possam levar a cria莽茫o de exploradores ser茫o mantidos privados e dar茫o origem a uma nova vers茫o. Tentaremos resolver isso o mais r谩pido poss铆vel."
听
Para refor莽ar a import芒ncia deste alerta, podemos verificar o hist贸rico de alertas do projeto OpenSSL, observando que o 煤ltimo alerta cr铆tico foi emitido pelos mantenedores em 2014, quando a falha "HeartBleed" foi descoberta.
A ETIR/IFSP recomenda fortemente a identifica莽茫o de hosts vulner谩veis:
听
Para verifica莽茫o da vers茫o da biblioteca OpenSSL padr茫o nos servi莽os, pode-se executar o comando "openssl version" no terminal do host, e a vers茫o da biblioteca ser谩 retornada.
听
Aten莽茫o aos softwares de terceiros que utilizem biblioteca pr贸pria em vers玫es diferentes da padr茫o do S.O..
Em casos de softwares de terceiro, recomendamos consulta 脿 documenta莽茫o do desenvolvedor.
听
搁别蹿别谤锚苍肠颈补蝉:
听
听
Agradecemos pela aten莽茫o e contribui莽茫o para a melhoria cont铆nua da seguran莽a da informa莽茫o institucional.
听
听
Instituto Federal de Educa莽茫o, Ci锚ncia e Tecnologia de S茫o Paulo - IFSP
Redes Sociais