OpenSSL-Fehler Heartbleed gibt Zugriff auf Server-Inhalte

Ein Fehler in der Software OpenSSL gibt Zugriff auf den flüchtigen Speicher eines Webservers. Die Sicherheitsfirma Codenomicon, die ihn zusammen mit Google-Forscher Neel Mehta entdeckt hat, nennt den Bug Heartbleed und hat sogar öffentlichkeitswirksam eine Domain dazu eingerichtet – die offizielle Kennung lautet aber CVE-2014-0160.

Mit den Daten im Speicher könnte ein Angreifer kritische Informationen auslesen und den Server sogar gegenüber Dritten verkörpern, indem sie sich den Schlüssel des Originalservers verschaffen. Sie könnten auch Nutzernamen und Passwörter von Usern auslesen.

OpenSSL ist eine quelloffene und weit verbreitete Lösung für verschlüsselte Online-Kommunikation mit SSL/TLS. Sie kann für HTTPS ebenso wie E-Mail- oder Messaging-Verschlüsselung verwendet werden. Codenomicon hat sie auf eigenen Servern untersucht, um die Schwachstelle zu verifizieren: „Wir griffen uns selbst von außen an, ohne eine Spur zu hinterlassen. Ohne jegliche Zugangsdaten stahlen wir uns selbst die geheimen Schlüssel für unsere X.509-Zertifikate, Usernamen und Passwörter, Instant Messages, E-Mails und geschäftskritische Dokumente“, schreiben die Forscher.

Dem widerspricht allerdings Adam Langley von Google, der an der Fehlerbehebung des Problems beteiligt war. Auf Private Keys habe er nie zugreifen können, berichtet er auf Twitter: „Als ich den schnellen OpenSSL-Fix testete, habe ich nie Schlüsselmaterial von Servern bekommen, immer nur alte Pufferverbindungen. (Immerhin mit Cookies.)“

Betroffen sind Version 1.0.1 und 1.0.2-beta von OpenSSL, das in vielen Linux-Distributionen enthalten ist. Die bereits verfügbar gemachte Version 1.0.1g schließt die Lücke. Auf dem Twitter-Konto zum Webserver Nginx erfolgte etwa die Warnung: „Heartbleed ist ein gewaltiges Problem. Prüft euer OpenSSL!“ Eine einfache Möglichkeit dafür hat der User Filippo Valsorda bereitgestellt. Caschys Blog hat damit ermittelt, dass der Passwortmanager LastPass zu den Opfern zählt.

Auch angesichts täglicher Meldungen über Sicherheitslücken ist Heartbleed ein schweres und möglicherweise folgenreiches Problem für die Internet-Technik. Websites müssen aufwändig modifiziert werden, und eigentlich müsste jeder Besucher einer gefährdeten Site sein Passwort wechseln, weil es ja längst kompromittiert sein könnte. Analog müssten zahlreiche potenziell entwendete Sicherheitszertifikate zurückgezogen werden.

Die Gefahr ist etwas weniger groß für Websites, die bereits die Funktion Perfect Forward Secrecy nutzen. Sie wechselt den Sicherheitsschlüssel für jede Session, ohne dass sich daraus Rückschlüsse auf den Master Key ziehen ließen. Der Diebstahl eines Session Key etwa mit Heartbleed hat somit kaum Folgen.

[mit Material von Stephen Shankland, News.com]

Tipp: Wie sicher sind Sie bei der Sicherheit? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de

Florian Kalenda

Seit dem Palm Vx mit Klapp-Tastatur war Florian mit keinem elektronischen Gerät mehr vollkommen zufrieden. Er nutzt derzeit privat Android, Blackberry, iOS, Ubuntu und Windows 7. Die Themen Internetpolitik und China interessieren ihn besonders.

Recent Posts

Vorinstallierte Schadsoftware auf IoT-Geräten

Mit dem Internet verbundene Digitale Bilderrahmen oder Mediaplayer können mit Schadsoftware infiziert werden und sind…

13 Stunden ago

iOS und iPadOS 18.2 beseitigen 21 Sicherheitslücken

Schädliche Apps können unter Umständen einen Systemabsturz auslösen. Mindestens eine Anfälligkeit erlaubt eine Remotecodeausführung.

1 Tag ago

Top-Malware im November: Infostealer Formbook bleibt Nummer 1

Sein Anteil an allen Infektionen steigt in Deutschland auf 18,5 Prozent. Das Botnet Androxgh0st integriert…

1 Tag ago

Google schließt schwerwiegende Sicherheitslücken in Chrome

Betroffen sind Chrome 131 und früher für Windows, macOS und Linux. Angreifer können unter Umständen…

2 Tagen ago

Data Analytics: Dienstleister wachsen zweistellig

Marktforscher Lündendonk erwartet für das Jahr 2025 ein durchschnittliches Umsatzwachstum von 14,9 Prozent.

2 Tagen ago

Open-Source-Malware auf Rekordniveau

Alarmierender Anstieg von Open-Source-Malware / Seit 2019 haben Sonatype-Analysen mehr als 778.500 bösartige Pakete aufgedeckt

2 Tagen ago