OpenSSL Information Disclosure Vulnerability
The (1) TLS and (2) DTLS implementations in OpenSSL 1.0.1 before 1.0.1g do not properly handle Heartbeat Extension packets, which allows remote attackers to obtain sensitive information from process memory via crafted packets that trigger…
Schweregrad = CVSS. Wahrscheinlichkeit = EPSS (FIRST). Ausnutzung = öffentliche Signale: KEV, EUVD, Ransomware, EPSS über 10 %, ohne Konto.
Ausnutzungswahrscheinlichkeit EPSS · FIRST
Ausnutzungssignale 4 / 5
- KEV-Katalog (CISA)04.05.2022
- In der EUVD ausgenutzt (ENISA)04.05.2022
- Von Ransomware genutztnein
- EPSS über 10 %100,00 %
- Ohne Konto, über das Netzja
Was tun
Beheben
Auf eine behobene Version aktualisieren: 1.0.1g-1
Vorgabe der CISA: Apply updates per vendor instructions.
Bis dahin
Den Dienst vom Internet nehmen oder den Zugriff einschränken, Protokolle überwachen und nach Kompromittierungsspuren suchen.
Hersteller (CRA)
Ausgenutzte Schwachstelle in Ihrem Produkt: Frühwarnung an die ENISA binnen 24 h, dann Meldung binnen 72 h (Artikel 14 des Cyber Resilience Act). Der CRA erklärt
Beschreibung ENISA EUVD
The (1) TLS and (2) DTLS implementations in OpenSSL 1.0.1 before 1.0.1g do not properly handle Heartbeat Extension packets, which allows remote attackers to obtain sensitive information from process memory via crafted packets that trigger a buffer over-read, as demonstrated by reading private keys, related to d1_both.c and t1_lib.c, aka the Heartbleed bug.
Text der Quelle, auf Englisch.
Betroffene Produkte
Open-Source-Pakete OSV
- opensslDebian:11 · CVE-2014-0160behoben in 1.0.1g-1
- opensslDebian:12 · CVE-2014-0160behoben in 1.0.1g-1
- opensslDebian:13 · CVE-2014-0160behoben in 1.0.1g-1
Zeitverlauf
-
Veröffentlichung
-
Ausnutzung gemeldet (ENISA)
-
Aufnahme in den KEV-Katalog
-
CISA-Frist zur Behebung
-
EPSS-Höchstwert: 100,00 %