В чём проблема
Реализации TLS и DTLS в OpenSSL ненадлежащим образом обрабатывают пакеты Heartbeat Extension, что приводит к переполнению буфера чтением (buffer over-read). Удаленные злоумышленники могут использовать эту уязвимость для извлечения конфиденциальных данных, таких как закрытые ключи, непосредственно из памяти процесса.
Кого это затрагивает
Эта уязвимость затрагивает версии OpenSSL 1.0.1 до 1.0.1g.
Что делать
Обновите OpenSSL до версии 1.0.1g или примените обновления в соответствии с инструкциями производителя.
Исходное описание
The (1) TLS and (2) DTLS implementations in OpenSSL 1.0.1 before 1.0.1g do not properly handle Heartbeat Extension packets, which allows remote attackers to obtain sensitive information from process memory via crafted packets that trigger a buffer over-read, as demonstrated by reading private keys, related to d1_both.c and t1_lib.c, aka the Heartbleed bug.
Известная эксплуатация (CISA KEV)
- Добавлено в KEV
- 2022-05-04
- Срок устранения (федеральные ведомства США)
- 2022-05-25
- Использование программами-вымогателями
- Unknown
- Требуемые меры
- Apply updates per vendor instructions.
Затронутое ПО
- OpenSSL ≥ 1.0.1 < 1.0.1g Исправлено в: 1.0.1g точное совпадение
Подробности
- Опубликовано
- 2014-04-07
- Последнее изменение
- 2026-06-17
- Вектор CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N- CWE
- CWE-125
- EPSS (вероятность эксплуатации в течение 30 дней)
- 100.00% (перцентиль 100)
Ссылки
- cve.org/CVE-2014-0160
- nvd.nist.gov/vuln/detail/CVE-2014-0160
- advisories.mageia.org/MGASA-2014-0165.html
- blog.fox-it.com/2014/04/08/openssl-heartbleed-bug-live-blog/
- cogentdatahub.com/ReleaseNotes.html
- download.schneider-electric.com/files?p_Doc_Ref=SEVD%202014-119-01
- git.openssl.org/gitweb/?p=openssl.git%3Ba=commit%3Bh=96db9023b881d7cd9f379b0c154650d6c108e...
- heartbleed.com/
- lists.fedoraproject.org/pipermail/package-announce/2014-April/131221.html
- lists.fedoraproject.org/pipermail/package-announce/2014-April/131291.html
- lists.fedoraproject.org/pipermail/package-announce/2014-August/136473.html
- lists.opensuse.org/opensuse-security-announce/2014-04/msg00004.html
- lists.opensuse.org/opensuse-security-announce/2014-04/msg00005.html
- lists.opensuse.org/opensuse-updates/2014-04/msg00061.html
Отслеживайте эти версии на своих серверах
InfraGuard собирает версии установленного ПО со всех серверов и отмечает версии с известными уязвимостями. Self-hosted — данные не покидают вашу сеть.
Этот продукт использует данные NVD API, но не одобрен и не сертифицирован NVD. CVE® — зарегистрированный товарный знак The MITRE Corporation; записи CVE используются в соответствии с Условиями использования CVE Program.