รายงานบั๊กใหม่จากวิศวกรของ Red Hat พบว่าชุดเครื่องมือความปลอดภัย GnuTLS มีบั๊กในการจัดการกับความผิดพลาดของใบรับรอง SSL หากแฮกเกอร์สามารถสร้างใบรับรองได้อย่างถูกต้อง จะสามารถข้ามการตรวจสอบทั้งหมดได้ทันทีแม้จะไม่ได้รับรองจากหน่วยงานออกใบรับรองใดๆ
ที่เลวร้ายคือบั๊กนี้อาจจะมีมาตั้งแต่ปี 2005 นานกว่าบั๊ก goto fail;
ของแอปเปิล
มาก ที่สำคัญคือมีซอฟต์แวร์อาศัยโค้ดของ GnuTLS ในการตรวจสอบใบรับรอง SSL มากมาย นับแต่ curl
ที่ Debian และ Ubuntu มีตัวเลือกใช้ GnuTLS แทน OpenSSL ใน libcurl3-gnutls
ไปจนถึงระบบ VPN ของซิสโก้ที่ใช้งานไลบรารีนี้เช่นกัน
กระบวนการมาตรฐานตอนนี้คือผู้ดูแลระบบทุกคนควรเร่งอัพเกรดซอฟต์แวร์โดยด่วน ทาง GnuTLS นั้นเปิดรุ่น 3.2.12 ให้ดาวน์โหลดแล้ว ส่วนดิสโทรเก่าๆ ที่ใช้รุ่น 2.x นั้นคงต้องรอให้ดิสโทรแพตซ์ให้และอัพเกรดกันต่อไป
ที่มา - ArsTechnica
Comments
สามาารถ => สามารถ
ซอฟต์วแวร์ => ซอฟต์แวร์
โดน NSA ฝังช่องไว้แล้วพึ่งตรวจเจอหรือเปล่า
ผมว่าไม่น่าเกี่ยวนะครับ
กระบวนการพัฒนาของ GNU เปิดเผยพอสมควร ความเป็นไปได้ที่จะเกี่ยวข้องคงน้อย แต่ตอนนี้ยังไม่เห็นว่าบั๊กเป็นอย่างไร (อยู่ช่วงปกปิด รอผู้ใช้อัพเดต) คงต้องรอดูกันครับ
แต่อีกทางที่ NSA อาจจะเกี่ยวข้องได้คือการซื้อช่องโหว่จากบริษัทวิจัยความปลอดภัยจำนวนมาก อาจจะมีบางบริษัทรับรู้ช่องโหว่นี้อยู่ก่อนแล้วแต่ไม่ได้เปิดเผยให้นักพัฒนาแต่กลับเอาช่องโหว่ไปขาย
lewcpe.com , @wasonliw
http://blog.existentialize.com/the-story-of-the-gnutls-bug.html
(เห็นอ.มะนาวแชร์เมื่อเช้าครับ)
พวก hardware router ที่ไม่มีโอกาส fix firmware นี่เสี่ยงสูงมากวันดีคืนดีมีช่องโหว่โดนยัด binary ลงไป ดักได้หมดเลย