OpenSSL heeft stilletjes een kwetsbaarheid verholpen waardoor het mogelijk is om bij servers een denial of service te veroorzaken, zo stelt authenticatiedienst Okta. Het bedrijf ontdekte en rapporteerde het probleem, dat het HollowByte noemt. OpenSSL behoort tot de meest gebruikte software voor het versleutelen van internetverbindingen. Websites maken er bijvoorbeeld gebruik van om het verkeer van en naar bezoekers te versleutelen.

HollowByte betreft een probleem bij het opzetten van een TLS handshake tussen server en client. Door het versturen van een speciaal geprepareerd handshake-bericht is het mogelijk om grote hoeveelheden geheugen van de server in beslag te nemen, die uiteindelijk zonder geheugen komt te zitten. Zelfs wanneer de aanvaller de verbinding met de server verbreekt blijft de situatie bestaan. De enige oplossing om het in beslag genomen geheugen weer terug te krijgen is door het proces te beëindigen.

Volgens Okta heeft OpenSSL het probleem stilletjes in OpenSSL versie 4.0.1 verholpen, alsmede de fix stiletjes gebackport naar versies 3.6.3, 3.5.7, 3.4.6 en 3.0.21. Daarnaast heeft OpenSSSL geen CVE-nummer voor de kwetsbaarheid aangevraagd, maar het probleem als een ‘hardening fix’ afgedaan, aldus Okta. De genoemde versies verschenen op 9 juni en verhielpen ook een probleem dat tot remote code execution kan leiden.

Bron: Security.nl